Formation Data Forensics

Leçon 1 • Obligations légales et éthiques

Couvre les exigences de recevabilité, les règles de chaîne de traçabilité et l'éthique de l'enquêteur. Garantit que les étudiants comprennent les contraintes qui régissent chaque action de criminalistique.

Leçon 2 • Qu'est-ce que la criminalistique numérique

Définit la criminalistique numérique, son périmètre et son rôle dans les enquêtes. Ancre tout le travail technique ultérieur dans un cadre disciplinaire clair.

Leçon 3 • Mise en place d'un environnement de laboratoire de criminalistique

Guide les étudiants à travers les exigences matérielles, logicielles et procédurales pour un espace de travail de criminalistique. Établit des conditions sûres et reproductibles pour tous les travaux pratiques en laboratoire.

Leçon 4 • Le cycle de vie d'une enquête de criminalistique

Cartographie le processus de bout en bout, de l'identification de l'incident à la clôture du dossier. Les étudiants acquièrent un modèle mental reproductible pour structurer toute enquête.

Leçon 1 • Fonctionnement interne des systèmes de fichiers

Examine les structures des systèmes de fichiers FAT, NTFS, ext4 et APFS en détail de criminalistique. Les étudiants extraient des métadonnées et localisent des artefacts dans chaque système de fichiers.

Leçon 2 • Encodage, hachage et intégrité des données

Introduit l'encodage des caractères, le hachage cryptographique et la vérification de l'intégrité. Les étudiants appliquent le hachage pour confirmer l'authenticité des preuves tout au long d'une enquête.

Leçon 3 • Suppression de fichiers et résidus de données

Explique ce qui se produit au niveau du système de fichiers lorsque des fichiers sont supprimés. Les étudiants comprennent où persistent les données récupérables après la suppression.

Leçon 4 • Architecture des supports de stockage

Explique le fonctionnement interne des HDD, SSD et mémoire flash pertinent pour la récupération de criminalistique. Relie le comportement des supports physiques aux stratégies d'acquisition de preuves.

Leçon 1 • Principes de l'acquisition criminalistique

Établit le blocage d'écriture, l'imagerie bit à bit et la vérification comme des normes d'acquisition non négociables. Ancre toutes les techniques d'acquisition dans une méthodologie défendable.

Leçon 2 • Imagerie de disques et de supports

Couvre les outils et procédures pour l'imagerie des HDD, SSD et supports amovibles. Les étudiants produisent et vérifient des images de criminalistique dans des formats standard.

Leçon 3 • Collecte de preuves dans le cloud et à distance

Explique l'autorisation légale et les méthodes techniques pour collecter des preuves hébergées dans le cloud. Les étudiants documentent l'acquisition cloud pour satisfaire aux exigences de chaîne de traçabilité.

Leçon 4 • Acquisition de dispositifs mobiles

Couvre les méthodes d'extraction logique, de système de fichiers et physique pour les smartphones et tablettes. Les étudiants sélectionnent le niveau d'extraction approprié en fonction de l'état du dispositif.

Leçon 1 • Artefacts de chronologie et de système de fichiers Windows

Analyse les horodatages NTFS, $MFT, $LogFile et $UsnJrnl pour la reconstruction de l'activité des fichiers. Les étudiants construisent des chronologies chronologiques des événements du système de fichiers.

Leçon 2 • Analyse des journaux d'événements Windows

Couvre la structure des journaux EVTX, les ID d'événements clés et les techniques de corrélation de journaux. Les étudiants identifient les événements d'authentification, de processus et de sécurité pertinents pour les enquêtes.

Leçon 3 • Criminalistique du registre Windows

Examine les ruches du registre comme une source riche d'artefacts d'activité utilisateur et système. Les étudiants analysent les fichiers de ruche pour extraire des données de configuration, d'utilisation et de chronologie.

Leçon 4 • Artefacts de navigateur et de communication

Extrait l'historique de navigation, les fichiers en cache, les cookies et les artefacts de messagerie des systèmes Windows. Les étudiants relient l'activité en ligne aux comptes utilisateur et aux périodes de temps.

Leçon 1 • Extraction d'artefacts de logiciels malveillants

Guide l'extraction d'exécutables suspects, de chaînes de caractères et de données de configuration à partir de la mémoire. Les étudiants produisent des indicateurs de compromission exploitables à partir de preuves mémoire.

Leçon 2 • Revue de l'architecture mémoire et de l'acquisition

Passe en revue la disposition de la mémoire virtuelle, les espaces d'adressage des processus et les structures du noyau pertinentes pour l'analyse. Relie les concepts d'acquisition du chapitre 3 aux techniques d'analyse.

Leçon 3 • Analyse des processus et du réseau en mémoire

Identifie les processus en cours d'exécution, les chargements de DLL et les connexions réseau actives dans les images mémoire. Les étudiants détectent les processus anormaux et l'activité réseau masquée.

Leçon 4 • Détection des injections de code et des rootkits

Couvre les techniques d'injection courantes, notamment l'injection de DLL, le process hollowing et le chargement réflexif. Les étudiants identifient les régions de code injecté et les hooks de rootkit.

Leçon 1 • Reconnaissance des intrusions et des schémas d'attaque

Enseigne la reconnaissance des schémas de balayage, d'exploitation et de mouvement latéral dans les données réseau. Les étudiants cartographient le trafic observé par rapport aux étapes d'attaque connues.

Leçon 2 • Sources de preuves réseau et collecte

Catalogue les captures de paquets, NetFlow, les journaux de pare-feu et les journaux de proxy comme preuves réseau principales. Les étudiants identifient les sources qui répondent à des questions d'enquête spécifiques.

Leçon 3 • Analyse des captures de paquets

Couvre l'inspection approfondie des paquets, le décodage des protocoles et les techniques de réassemblage de flux. Les étudiants reconstruisent des sessions et extraient des fichiers transférés à partir de preuves PCAP.

Leçon 4 • Criminalistique sans fil et VoIP

Aborde la collecte et l'analyse de preuves à partir de communications Wi-Fi et voix sur IP. Les étudiants appliquent des compétences d'analyse de paquets aux preuves sans fil et de téléphonie.

Leçon 1 • Criminalistique du stockage cloud et de la collaboration

Couvre la récupération d'artefacts à partir de plateformes de stockage cloud, de messagerie et de collaboration. Les étudiants utilisent l'accès API et les artefacts de synchronisation locale pour reconstruire l'activité cloud.

Leçon 2 • Criminalistique des objets connectés et des dispositifs portables

Introduit les sources de preuves provenant des dispositifs domotiques, des dispositifs portables et des véhicules connectés. Les étudiants identifient et collectent les artefacts IoT pertinents pour les enquêtes.

Leçon 3 • Fonctionnement interne des systèmes d'exploitation mobiles

Examine les structures des systèmes de fichiers iOS et Android, les partitions de données et les modèles de stockage des applications. Les étudiants naviguent dans les structures de stockage mobiles pour localiser les artefacts de criminalistique.

Leçon 4 • Analyse des artefacts des applications mobiles

Cible les bases de données SQLite, les fichiers plist et les données en cache dans les applications mobiles. Les étudiants extraient des artefacts de communication, de localisation et d'activité à partir des données d'application.

Leçon 1 • Gestion de dossier et documentation

Établit des systèmes pour gérer les preuves, les notes et les communications tout au long d'un dossier. Les étudiants appliquent des pratiques de documentation qui protègent l'intégrité du dossier du début à la fin.

Leçon 2 • Techniques de chronologie et de visualisation

Couvre les outils et méthodes pour créer des chronologies visuelles et des cartes de preuves. Les étudiants produisent des graphiques qui clarifient des séquences d'événements complexes pour tout public.

Leçon 3 • Préparation au témoignage d'expert

Prépare les étudiants au dépôt et au témoignage devant un tribunal en tant que témoin expert en criminalistique. Les étudiants s'entraînent à expliquer la méthodologie et à défendre les conclusions lors d'un contre-interrogatoire.

Leçon 4 • Rédaction pour des publics non techniques

Enseigne la traduction en langage clair des conclusions techniques de criminalistique pour les lecteurs juridiques et dirigeants. Les étudiants reformulent les résultats complexes sans sacrifier la précision.