Analyse inforensique Windows - Forensic par HS2 - Herve Schauer Securite

Jour 1 :
- Présentation de l'inforensique
- Périmètre de l'investigation
- Trousse à outil
- Méthodologie "First Responder"
- Analyse Post
- mortem
- Disques durs
- Introduction aux systèmes de fichiers
- Horodatages des fichiers
- Acquisition des données : Persistante et volatile
- Gestion des supports chiffrés
- Recherche de données supprimées
- Sauvegardes et Volume Shadow Copies
- Aléas du stockage flash
- Registres Windows
- Les structures de registres Windows
o Utilisateurs
o Systèmes
- Analyse des journaux
- Évènements / antivirus / autres logiciels
Jour 2 - Scénario d'investigation :
- Téléchargement/Accès à des contenus confidentiels
- Exécution de programmes
- Traces de manipulation de fichiers et de dossiers
- Fichiers supprimés et espace non alloué
- Carving
- Géolocalisation
- Photographies (données Exifs)
- Points d'accès WiFi
- HTML5
- Exfiltration d'informations
- Périphérique USB
- Courriels
- Journaux SMTP
o Acquisition coté serveur
o Analyse client messagerie
- Utilisateurs abusés par des logiciels malveillants
Jour 3 - Interaction sur Internet :
- Utilisation des Navigateurs Internet
- IE/Edge / Firefox
- Office 365
- Sharepoint
- Traces sur les AD Windows
- Présentation des principaux artefacts
- Bases de l'analyse de la RAM
o Conversion des hyberfiles.sys
o Bases Volatility/Rekall
o Extraction des clés de chiffrement
Jour 4 - Inforensique Linux :
- Les bases de l'inforensique sur un poste de travail Linux"
- Les bases de l'inforensique sur un serveur Linux
o Journaux serveurs Web & Corrélations avec le système de gestion de fichiers
- Création et analyse d'une frise chronologique du système de fichier
Jour 5 - Vue d'ensemble :
- Création et analyse d'une frise chronologique enrichie d'artefacts
- Exemple d'outil d'interrogation de gros volume de données
- Examen de certification HS2 (QCM sur ordinateur).

Gérer une investigation numérique sur un ordinateur Windows.
Avoir les bases de l'analyse numérique sur un serveur Web.
Acquérir les médias contenant l'information.
Trier les informations pertinentes et les analyser.
Utiliser les logiciels d'investigation numérique.
Maîtriser le processus de réponse à incident.