Formation Sécurité informatique Windows : Analyse forensique et investigation numérique avancée

Programme de la formation
Sécurité informatique Windows : Analyse forensique et investigation numérique avancée

• Fondamentaux de l'Investigation Numérique et Environnement Windows

  - Introduction à la forensique numérique et ses principes
  - Architecture et fonctionnement interne de Windows (noyau, userland)
  - Types de données numériques sur Windows (fichiers, registres, logs)
  - Stratégies initiales d'intervention et cadre légal

• Collecte de Données Volatiles et Statiques sous Windows

  - Techniques de collecte de RAM (mémoire vive) et analyse
  - Acquisition de disques physiques et logiques (techniques, outils)
  - Préservation de l'intégrité des preuves (hachage, chaîne de possession)
  - Collecte sécurisée d'informations réseau et d'état système

• Analyse du Système de Fichiers NTFS

  - Structure détaillée du système de fichiers NTFS (MFT, index, attributs)
  - Récupération de fichiers supprimés et fragments de données
  - Analyse des horodatages (MAC times) et leur signification forensique
  - Identification de données cachées ou stéganographiées

• Examen des Journaux d'Événements Windows (Event Logs)

  - Comprendre les différents types de journaux (Sécurité, Système, Application)
  - Outils d'analyse avancée des Event Logs (Event Viewer, PowerShell, сторонние)
  - Corrélation d'événements pour reconstituer des scenarii d'attaque
  - Détection d'activités suspectes via les ID d'événements clés

• Analyse de la Base de Registres Windows

  - Arborescence et structure de la base de registres (Hives, clés, valeurs)
  - Identification de programmes lancés automatiquement et changements système
  - Détection d'artefacts d'exécution et de persistance (RunOnce, Services)
  - Extraction d'informations sensibles (réseaux, utilisateurs, applications)

• Identification et Analyse des Programmes Exécutés

  - Artefacts d'exécution : Prefetch, ShimCache, Amcache.hve, Jumplists
  - Détection de malwares et processus malveillants actifs
  - Analyse de fichiers binaires : propriétés, signatures, chaînes
  - Utilisation d'outils d'analyse de comportement (sandbox)

• Analyse Réseau et Connexions sur Windows

  - Capture et analyse de trafic réseau sur machines Windows
  - Identification de connexions suspectes (ports ouverts, communications C2)
  - Examen des caches DNS et résolution de noms de domaine
  - Artefacts de navigation web (historique, cookies, caches navigateurs)

• Investigation des Comptes Utilisateurs et Processus

  - Analyse des comptes utilisateurs locaux et de leurs privilèges
  - Identification de nouvelles créations de comptes ou élévations de privilèges
  - Examen des processus en cours d'exécution et de leurs parents
  - Détection d'injections de code ou de processus masqués

• Forensique de la Mémoire Vive (RAM Analysis)

  - Outils et techniques d'extraction d'images mémoire (dumping RAM)
  - Analyse des processus en mémoire et de leurs artefacts
  - Extraction de mots de passe, clés de chiffrement et données sensibles en RAM
  - Détection de rootkits et d'injections dynamiques

• Réponse à Incident et Stratégies de Confinement

  - Processus de réponse à incident (préparation, identification, confinement)
  - Techniques de confinement d'un système Windows compromis
  - Eradication des menaces et récupération du système
  - Rapports d'incident et documentation des investigations

• Outils Avancés d'Investigation Numérique sur Windows

  - Utilisation approfondie de Volatility Framework pour la RAM
  - Maîtrise de FTK Imager et Autopsy pour l'analyse de disque
  - Scripts PowerShell pour l'automatisation de la collecte et de l'analyse
  - Présentation d'autres outils open-source et commerciaux pertinents

• Cas Pratiques et Défense Proactive

  - Études de cas réelles d'incidents Windows et résolution
  - Élaboration de plans de réponse à incident personnalisés
  - Mise en place de mesures de défense proactive (hardening, EDR)
  - Veille technologique en cybersécurité et forensique Windows