Formation investigation numérique

Leçon 1 • Types de preuves numériques

Présente les catégories de preuves volatiles, non volatiles et réseau. Prépare les étudiants à reconnaître les sources de preuves avant le début de l'acquisition.

Leçon 2 • Le processus d'enquête criminalistique

Présente les phases standard : identification, préservation, analyse et rapport. Fournit le socle procédural appliqué tout au long du cours.

Leçon 3 • Fondements juridiques et éthiques

Examine les normes d'admissibilité, la chaîne de traçabilité et l'éthique de l'enquêteur. Garantit que chaque action technique ultérieure satisfait aux exigences probatoires.

Leçon 4 • Définition de la criminalistique numérique

Couvre la définition de la discipline, son histoire et sa relation avec la cybersécurité et le droit. Ancre tout le travail technique ultérieur dans un cadre professionnel clair.

Leçon 1 • Principes de l'imagerie criminalistique

Explique la copie bit par bit, le hachage et la vérification pour garantir l'intégrité de l'image. Établit la norme technique que toutes les tâches d'acquisition doivent respecter.

Leçon 2 • Acquisition de preuves cloud et à distance

Explore les mesures de conservation légale, la collecte par API et la coopération des fournisseurs pour les données cloud. Prépare les étudiants aux sources de preuves dépourvues de support physique.

Leçon 3 • Acquisition de systèmes actifs et de mémoire

Enseigne la capture de données volatiles à partir de systèmes en cours d'exécution avant que l'arrêt ne détruise les preuves. Se connecte directement aux techniques d'analyse mémoire ultérieures.

Leçon 4 • Acquisition sur appareils mobiles

Aborde les méthodes d'extraction logique, du système de fichiers et physique pour les smartphones et tablettes. Met en évidence les défis spécifiques aux plateformes qui affectent l'exhaustivité des preuves.

Leçon 1 • Techniques anti-criminalistiques et détection

Identifie les méthodes utilisées pour cacher, détruire ou obscurcir les preuves au niveau du stockage. Les étudiants apprennent à détecter et à contrer ces techniques lors de l'analyse.

Leçon 2 • Récupération de fichiers supprimés

Montre comment la suppression fonctionne au niveau du système de fichiers et comment les données persistent. Les étudiants appliquent des techniques de carottage et de métadonnées pour récupérer le contenu supprimé.

Leçon 3 • Principes fondamentaux des systèmes de fichiers

Explique les tables de partition, les structures de volume et les types de systèmes de fichiers courants. Fournit les connaissances structurelles nécessaires pour naviguer avec précision dans les images criminalistiques.

Leçon 4 • Artefacts criminalistiques NTFS

Examine les enregistrements MFT, les fichiers journaux et les flux de données alternatifs propres à NTFS. Ces artefacts révèlent l'historique des fichiers et les tentatives anti-criminalistiques sur les systèmes Windows.

Leçon 1 • Artefacts de navigation et Internet

Extrait l'historique, le cache, les cookies et les enregistrements de téléchargement des principaux navigateurs. Relie l'activité web à l'intention de l'utilisateur et à une éventuelle exfiltration de données.

Leçon 2 • Chronologie et cache d'activité Windows

Analyse de la base de données ActivitiesCache et de la chronologie Windows pour les actions récentes de l'utilisateur. Fournit une vue chronologique de l'accès aux documents et de l'utilisation des applications.

Leçon 3 • Criminalistique de la base de registre Windows

Cartographie la structure des ruches de la base de registre et identifie les clés qui enregistrent l'activité utilisateur et système. L'analyse de la base de registre sous-tend la plupart des enquêtes sur les artefacts Windows.

Leçon 4 • Analyse des journaux d'événements Windows

Enseigne l'analyse des journaux de sécurité, système et application pour reconstituer les événements. Les étudiants corrèlent les entrées de journal pour construire des chronologies du comportement de l'attaquant ou de l'utilisateur.

Leçon 1 • Connexions réseau en mémoire

Extrait les connexions réseau actives et récemment fermées des structures mémoire. Relie les processus aux communications externes pour l'attribution des menaces.

Leçon 2 • Méthodes d'acquisition mémoire

Passe en revue les outils et techniques de capture de la RAM à partir de systèmes actifs et en veille prolongée. Aborde les problèmes de fidélité d'acquisition qui affectent la précision de l'analyse en aval.

Leçon 3 • Architecture mémoire et structures

Explique les espaces d'adressage virtuels, les structures du noyau et la disposition de la mémoire des processus. Cette base est nécessaire pour interpréter correctement la sortie des outils d'analyse mémoire.

Leçon 4 • Détection des logiciels malveillants et des rootkits en mémoire

Applique la détection DKOM, l'analyse des hooks et l'analyse YARA pour identifier les menaces avancées. Les étudiants produisent des indicateurs de compromission basés sur la mémoire pour la réponse aux incidents.

Leçon 1 • Détection des intrusions et des exfiltrations

Identifie les modèles d'attaque, les mouvements latéraux et l'exfiltration de données dans les preuves réseau. Les étudiants appliquent l'établissement de base de référence du trafic et la détection d'anomalies à des scénarios réels.

Leçon 2 • Enquête réseau basée sur les journaux

Analyse les journaux du pare-feu, du proxy, du DNS et du DHCP pour retracer l'activité et les connexions des hôtes. Complète l'analyse des paquets lorsque les captures complètes ne sont pas disponibles.

Leçon 3 • Capture et analyse de paquets

Enseigne le filtrage, le réassemblage de flux et la dissection de protocoles à l'aide d'outils d'analyse de capture. Les étudiants reconstituent les sessions et extraient les fichiers transférés à partir des données de paquets.

Leçon 4 • Criminalistique des réseaux sans fil

Couvre l'analyse des trames 802.11, la détection des points d'accès non autorisés et l'examen des journaux sans fil. Étend les compétences en criminalistique réseau aux environnements où les captures filaires ne sont pas disponibles.

Leçon 1 • Construction de la chronologie d'un incident

Corrèle les artefacts provenant du disque, de la mémoire et du réseau pour construire une chronologie d'attaque unifiée. La précision de la chronologie détermine directement la qualité du rapport criminalistique final.

Leçon 2 • Analyse dynamique des malwares

Exécute des malwares dans des environnements sandbox isolés et surveille le comportement du système et du réseau. Produit des indicateurs comportementaux qui complètent les résultats statiques.

Leçon 3 • Analyse statique des malwares

Applique le hachage de fichiers, l'extraction de chaînes et l'analyse de l'en-tête PE aux fichiers suspects. Les étudiants identifient des indicateurs de compromission sans exécuter le malware.

Leçon 4 • Classification et comportement des malwares

Catégorise les familles de malwares et décrit leurs empreintes criminalistiques sur l'hôte et le réseau. Fournit le contexte de menace nécessaire pour orienter la collecte ciblée d'artefacts.

Leçon 1 • Rédaction technique pour la criminalistique

Développe une écriture précise et contrôlée en jargon qui transmet des conclusions complexes à des publics variés. La clarté de l'écriture affecte directement la manière dont les preuves sont comprises par les décideurs.

Leçon 2 • Préparation du témoin expert

Prépare les étudiants à se qualifier en tant que témoins experts et à présenter leurs conclusions lors d'un interrogatoire. Couvre les stratégies de déposition, d'interrogatoire direct et de contre-interrogatoire.

Leçon 3 • Étude de cas : Production d'un rapport de bout en bout

Applique toutes les compétences en matière de rapport à un scénario réaliste, de la réception des preuves au rapport final. Les étudiants reçoivent un retour structuré pour atteindre les normes professionnelles de rédaction de rapports.

Leçon 4 • Structure et normes du rapport criminalistique

Définit les sections requises du rapport, les normes d'objectivité et les bonnes pratiques de documentation. Un rapport bien structuré est le livrable principal de toute mission criminalistique.