Formation en forensique numérique

Leçon 1 • Types de preuves numériques

Passe en revue les catégories de preuves volatiles, non volatiles et réseau. Prépare les étudiants à reconnaître les sources de preuves avant le début de l'acquisition.

Leçon 2 • Le processus d'enquête criminalistique

Présente les phases standards : identification, préservation, analyse et rapport. Fournit la colonne vertébrale procédurale appliquée tout au long du cours.

Leçon 3 • Fondements juridiques et éthiques

Examine les normes d'admissibilité, la chaîne de traçabilité et l'éthique de l'enquêteur. Assure que chaque action technique ultérieure répond aux exigences de preuve.

Leçon 4 • Définir la criminalistique numérique

Couvre la définition, l'histoire et la relation de la discipline avec la cybersécurité et le droit. Ancre tout le travail technique subséquent dans un cadre professionnel clair.

Leçon 1 • Principes de l'imagerie criminalistique

Explique la copie bit par bit, le hachage et la vérification pour assurer l'intégrité de l'image. Établit la norme technique que toutes les tâches d'acquisition doivent respecter.

Leçon 2 • Acquisition de preuves infonuagiques et à distance

Explore les blocages légaux, la collecte par API et la coopération des fournisseurs pour les données infonuagiques. Prépare les étudiants aux sources de preuves qui manquent de support physique.

Leçon 3 • Acquisition sur système en direct et mémoire

Enseigne la capture de données volatiles à partir de systèmes en cours d'exécution avant que l'arrêt ne détruise les preuves. Se connecte directement aux techniques d'analyse mémoire ultérieures.

Leçon 4 • Acquisition d'appareils mobiles

Aborde les méthodes d'extraction logique, de système de fichiers et physique pour les téléphones intelligents et les tablettes. Met en évidence les défis spécifiques à la plateforme qui affectent l'exhaustivité des preuves.

Leçon 1 • Techniques anti-criminalistiques et détection

Identifie les méthodes utilisées pour cacher, détruire ou masquer les preuves au niveau du stockage. Les étudiants apprennent à détecter et à contrer ces techniques lors de l'analyse.

Leçon 2 • Récupération de fichiers supprimés

Montre comment la suppression fonctionne au niveau du système de fichiers et comment les données persistent. Les étudiants appliquent des techniques de carving et de métadonnées pour récupérer le contenu supprimé.

Leçon 3 • Principes fondamentaux des systèmes de fichiers

Explique les tables de partition, les structures de volume et les types de systèmes de fichiers courants. Fournit les connaissances structurelles nécessaires pour naviguer avec précision dans les images criminalistiques.

Leçon 4 • Artefacts criminalistiques NTFS

Examine les enregistrements MFT, les fichiers journaux et les flux de données alternatifs propres à NTFS. Ces artefacts révèlent l'historique des fichiers et les tentatives anti-criminalistiques sur les systèmes Windows.

Leçon 1 • Artefacts de navigateur et Internet

Extrait l'historique, le cache, les témoins et les enregistrements de téléchargement des principaux navigateurs. Relie l'activité Web à l'intention de l'utilisateur et à une éventuelle exfiltration de données.

Leçon 2 • Chronologie Windows et cache d'activités

Analyse la base de données ActivitiesCache et la chronologie Windows pour les actions récentes des utilisateurs. Fournit une vue chronologique de l'accès aux documents et de l'utilisation des applications.

Leçon 3 • Criminalistique du registre Windows

Cartographie la structure des ruches du registre et identifie les clés qui enregistrent l'activité de l'utilisateur et du système. L'analyse du registre sous-tend la plupart des enquêtes sur les artefacts Windows.

Leçon 4 • Analyse des journaux d'événements Windows

Enseigne l'analyse des journaux de sécurité, système et application pour reconstituer les événements. Les étudiants corrèlent les entrées de journal pour construire des chronologies du comportement de l'attaquant ou de l'utilisateur.

Leçon 1 • Connexions réseau en mémoire

Extrait les connexions réseau actives et récemment fermées des structures mémoire. Lie les processus aux communications externes pour l'attribution des menaces.

Leçon 2 • Méthodes d'acquisition mémoire

Passe en revue les outils et techniques pour capturer la RAM à partir de systèmes en direct et en veille prolongée. Aborde les problèmes de fidélité de l'acquisition qui affectent la précision de l'analyse en aval.

Leçon 3 • Architecture et structures mémoire

Explique les espaces d'adressage virtuels, les structures du noyau et la disposition de la mémoire des processus. Cette base est nécessaire pour interpréter correctement la sortie des outils d'analyse mémoire.

Leçon 4 • Détection de logiciels malveillants et de rootkits en mémoire

Applique la détection DKOM, l'analyse de crochets et l'analyse YARA pour identifier les menaces avancées. Les étudiants produisent des indicateurs de compromission basés sur la mémoire pour la réponse aux incidents.

Leçon 1 • Détection d'intrusion et d'exfiltration

Identifie les modèles d'attaque, le mouvement latéral et l'exfiltration de données dans les preuves réseau. Les étudiants appliquent l'établissement de référence du trafic et la détection d'anomalies à des scénarios réels.

Leçon 2 • Enquête réseau basée sur les journaux

Analyse les journaux de pare-feu, proxy, DNS et DHCP pour tracer l'activité et les connexions des hôtes. Complète l'analyse des paquets lorsque les captures complètes ne sont pas disponibles.

Leçon 3 • Capture et analyse de paquets

Enseigne le filtrage, le réassemblage de flux et la dissection de protocoles à l'aide d'outils d'analyse de capture. Les étudiants reconstituent des sessions et extraient des fichiers transférés à partir de données de paquets.

Leçon 4 • Criminalistique de réseau sans fil

Couvre l'analyse des trames 802.11, la détection de points d'accès non autorisés et l'examen des journaux sans fil. Étend les compétences en criminalistique réseau aux environnements où les captures filaires ne sont pas disponibles.

Leçon 1 • Construction de chronologie d'incident

Corrèle les artefacts du disque, de la mémoire et du réseau pour construire une chronologie d'attaque unifiée. La précision de la chronologie détermine directement la qualité du rapport criminalistique final.

Leçon 2 • Analyse dynamique de logiciels malveillants

Exécute des logiciels malveillants dans des bacs à sable isolés et surveille le comportement du système et du réseau. Produit des indicateurs comportementaux qui complètent les résultats statiques.

Leçon 3 • Analyse statique de logiciels malveillants

Applique le hachage de fichiers, l'extraction de chaînes et l'analyse d'en-tête PE aux fichiers suspects. Les étudiants identifient des indicateurs de compromission sans exécuter le logiciel malveillant.

Leçon 4 • Classification et comportement des logiciels malveillants

Catégorise les familles de logiciels malveillants et décrit leurs empreintes criminalistiques sur l'hôte et le réseau. Fournit le contexte de menace nécessaire pour guider la collecte ciblée d'artefacts.

Leçon 1 • Rédaction technique pour la criminalistique

Développe une écriture précise et sans jargon qui transmet des résultats complexes à des publics variés. La clarté de l'écriture affecte directement la façon dont les preuves sont comprises par les décideurs.

Leçon 2 • Préparation au témoignage d'expert

Prépare les étudiants à se qualifier comme témoins experts et à présenter leurs résultats lors d'un examen. Couvre les stratégies de déposition, d'interrogatoire principal et de contre-interrogatoire.

Leçon 3 • Étude de cas : production d'un rapport de bout en bout

Applique toutes les compétences en matière de rapports à un scénario réaliste, de la réception des preuves au rapport final. Les étudiants reçoivent une rétroaction structurée pour atteindre les normes professionnelles en matière de rapports.

Leçon 4 • Structure et normes du rapport criminalistique

Définit les sections requises du rapport, les normes d'objectivité et les meilleures pratiques en matière de documentation. Un rapport bien structuré est le principal livrable de tout engagement criminalistique.