• Méthodologie de l’enquête : Définition du périmètre de l’investigation numérique, respect de la chaîne de contrôle des preuves et constitution de la trousse à outils de l’analyste Forensic.
• Posture de « First Responder » : Procédures d’urgence et d’intervention sur incident en direct.
• Analyse Post-Mortem : Principes du stockage magnétique et architectures des supports Flash modernes (SSD, NVMe, gestion de l’usure).
• Systèmes de fichiers (NTFS / FAT) : Structures internes, métadonnées, gestion et limites des horodatages (MACB).
• Acquisition de données : Protocoles de collecte intègre des données persistantes (images disques) et volatiles. Gestion du chiffrement de disque (BitLocker).
• Récupération de données : Recherche de fichiers effacés, mécanismes des Volume Shadow Copies (VSS) et analyse de l’espace non alloué.
• Base de Registre Windows : Analyse profonde des ruches système (SYSTEM, SOFTWARE, SAM, SECURITY) et utilisateur (NTUSER.DAT, USRCLASS.DAT).
• Analyse des journaux système : Audit fin des journaux d’événements Windows (fichiers EVTX), logs des solutions antivirus et applicatifs tiers.

2. Scénarios d’Investigation & Artefacts d’Exécution

• Preuves d’exécution de programmes : Identification fine des applications lancées par l’attaquant ou l’utilisateur (Prefetch, Shimcache, Amcache, BAM/DAM).
• Traces de manipulation de fichiers : Analyse de l’activité récente et de la navigation au sein des répertoires (Lnk files, Shellbags, Jump Lists).
• Techniques de récupération : Extraction de données par signatures magiques de fichiers (File Carving) dans l’espace non alloué.
• Artefacts de contexte et de mobilité : Extraction de la géolocalisation, métadonnées EXIF des photographies, historiques des connexions Wi-Fi et stockage HTML5 locaux.
• Forensic de l’exfiltration : Traque de l’utilisation des périphériques de stockage amovibles (USBSTOR, Setupapi.log).
• Analyse de la messagerie : Analyse forensic des courriels d’ingénierie sociale (Phishing), parsing des clients lourds de messagerie et extraction des journaux SMTP côté serveur.

3. Interactions Internet, Activité Cloud et Triage de la RAM

• Forensic des navigateurs web : Analyse des artefacts de navigation modernes basés sur Chromium (Microsoft Edge, Google Chrome) et Gecko (Firefox). Parsing des bases de données SQLite (historiques, cookies, sessions).
• Artefacts Cloud locaux : Traces d’activité et de synchronisation sur l’environnement Microsoft 365 (SharePoint, OneDrive local).
• Traque des attaques sans fichier (Fileless) : Analyse avancée des exécutions malveillantes via les journaux PowerShell (Event ID 4104 – Script Block Logging) et requêtes WMI suspectes.
• Traces sur l’Active Directory : Identification des artefacts résiduels laissés sur les contrôleurs de domaine (EventID critiques liés aux outils offensifs).
• Bases de l’analyse de la mémoire vive (RAM) : Méthodes d’acquisition, conversion des fichiers de mise en veille (hiberfil.sys, pagefile.sys) et techniques d’extraction des clés de chiffrement à chaud.

4. Compléments Multi-OS (Introduction à l’Inforensique Linux)

• Forensic Linux Client : Les bases de la collecte d’artefacts et d’investigation sur un poste de travail Linux.
• Forensic Linux Serveur : Audit et corrélation des journaux de serveurs Web (Apache, Nginx) avec le système de gestion de fichiers.
• Chronologie de fichiers : Création et analyse d’une frise chronologique brute du système de fichiers (Filesystem Timeline).

5. Corrélation Globale & Génération de Super-Timeline

• Super-Timeline enrichie : Méthodologie d’unification de toutes les sources de preuves (système de fichiers, base de registre, logs réseau, artefacts d’exécution) au sein d’une frise chronologique unique.
• Gestion des volumes de données : Présentation et exploitation pratique des outils d’indexation, de tri et d’interrogation de données Forensic massives.

6. Fin de Session & Clôture Technique

• Synthèse générale : Session ouverte de questions et réponses pour ancrer les compétences.
• Contrôle des connaissances : Passation du QCM technique d’évaluation des acquis

Profil Formateur

• Profil Référent : Quentin . F : Ingénieur Cybersécurité Senior & Expert Consultant en Forensic.
  • Titres & Certifications : Diplôme d’Ingénieur BAC+5 spécialisé en Cybersécurité, certifié PASSI (Auditeur qualifié par l’ANSSI).
  • Compétences clés : Analyste SOC senior et spécialiste de la réponse aux incidents de sécurité majeurs (DFIR).
  • Maîtrise technologique avancée : Développement d’outils et de scripts d’investigation en Python (scraping), manipulation des frameworks d’OSINT et de Threat Intelligence (Maltego, Spiderfoot, Sherlock), architectures réseaux complexes et ingénierie de l’anonymisation.

Pour allez plus loin

Poursuivez la montée en compétences de vos équipes en Forensic et Investigation Numérique grâce à nos cursus avancés

• Analyse de Malwares Méthodologie et Pratique (2 jours)
  •  Connaitre les  méthodologiques et les techniques indispensables pour aborder sereinement l’analyse de malwares. 
• Analyse Inforensique Windows (5 jours)
  •  Pour maîtriser la collecte de preuves et l’analyse post-mortem des artefacts Microsoft.
• Rétroingénierie de logiciels malfaisants / Reverse Engineering (5 jours) 
  • Pour disséquer le code machine (Ghidra/Radare2) et comprendre l’obfuscation des malwares étatiques.

L’article Analyse Inforensique Windows est apparu en premier sur DNDA Formation.

1. Introduction à l’Inforensique Réseau & Threat Hunting 

• Gestion des incidents de sécurité : Étapes d’une intrusion cyber et cartographie des impacts systémiques.
• Threat Intelligence : Introduction et interfaçage avec les plateformes de partage (MISP, Yeti) et création d’IOC.
• Hunting & Triage de masse : Collecte de données à distance ou en local via GRR, Kansa et OSQuery.
• Automatisation de l’analyse : Filtrage par bases de confiance (NSRLDB), détection par entropie et repérage de binaires packés.

2. Analyse Forensic Post-Mortem Réseau

• Audit et corrélation des journaux applicatifs et d’infrastructure : DNS, HTTP, SGBD, Pare-feu, Syslog.
• Analyse approfondie de captures de paquets réseau (PCAP) et statistique des flux (Netflow).
• Identification des canaux de communication vers les serveurs de Command & Control (C2).
• Détection des canaux cachés (tunneling ICMP, exfiltration DNS) et des techniques de reconnaissance furtives.

3. Investigation de la Mémoire Volatile (RAM)

• Introduction aux principales structures de la mémoire vive et analyse des processus système.
• Traque des processus masqués, détection des injections de code et techniques d’évasion (Process-Hollowing).
• Analyse des structures complexes : Shellcodes, Handles, communications réseaux actives et composants Kernel (SSDT, IDT, Memory Pool).
• Manipulation du débogueur WinDbg et création de mini-dumps de processus suspects.
• Travaux Pratiques : Analyse « live » en temps réel d’un système d’exploitation compromis.

4. Systèmes de Fichiers (Focus Avancé NTFS)

• Introduction approfondie à l’architecture NTFS et étude des artefacts système disponibles.
• Compréhension fine des règles d’horodatage et de chronologie (Time Rules) sous Windows, Linux et OSX.
• Génération de chronologies de fichiers (Filesystem Timeline) et détection des falsifications de dates (Timestomping).

5. Traces d’Exécution et Mouvements Latéraux

• Analyse des mécanismes de persistance : fonctions Autostart (Linux, Windows, OSX), services, tâches planifiées et requêtes WMI.
• Travaux Pratiques Active Directory : Détecter une compromission d’infrastructure AD et générer une timeline des objets compromis.
• Recherche de portes dérobées (backdoors) dans l’AD, étude des EventID critiques et corrélation avec les outils d’attaque (Golden Ticket, etc.).

6. Reconstitution par Super-Timeline

• Présentation, méthodologie d’unification des sources et cas d’utilisation en gestion de crise.
• Exploitation pratique et visualisation chronologique collaborative à l’aide de l’outil Timesketch.

7. Fin de Session & Validation des Compétences

• Synthèse générale : Session ouverte de questions et réponses pour ancrer les compétences.
• Contrôle des connaissances : Passation du QCM technique d’évaluation des acquis

Profil formateur

• Expert Référent : Esteban F: Ingénieur Cybersécurité Senior & Expert Forensic.
  • Titres & Certifications : Diplôme d’Ingénieur BAC+5 spécialisé en Cybersécurité, certifié PASSI (Auditeur qualifié par l’ANSSI).
  • Compétences clés : Analyste SOC senior et spécialiste de la réponse aux incidents de sécurité majeurs (DFIR).
  • Maîtrise avancée : Développement d’outils et scripts en Python (scraping), manipulation des frameworks d’OSINT et de Threat Intelligence (Maltego, Spiderfoot, Sherlock), architectures réseaux et techniques avancées d’anonymisation.

Pour allez plus loin

Poursuivez la montée en compétences de vos équipes en Forensic et Investigation Numérique grâce à nos cursus avancés

• Analyse Inforensique Windows (5 jours) — Pour asseoir de parfaites bases post-mortem sur les artefacts Microsoft.
• Analyse de Malwares : Méthodologie et Pratique (2 jours) — Pour apprendre à isoler des charges suspectes et créer des règles YARA.
• Rétroingénierie de logiciels malfaisants / Reverse Engineering (5 jours) — Pour disséquer le code binaire pur (Ghidra, Radare2).

L’article Inforensique-avancee-reponse-incidents est apparu en premier sur DNDA Formation.

• Processus et méthodologie générique
  • Analyse statique :
• Analyse des métadonnées
  • statique
  • dynamique
  • Comportemental
  • Débugger
• Construire son laboratoire d’analyse
• Simuler internet
• Utilisation de la virtualisation
• Contournement des mécanismes de protection anti-VM
• Simulation d’architecture « exotique » (IOT)
• Construction du laboratoire et boite à outils
• Sandbox

2 Cas d’analyse

• Introduction au langage assembleur

• Guide de survie des instructions de bases
  • Instruction modifiant le flux d’exécution
  • Présentation des registres

• Conventions d’appels
  • Spécificités des langages objets
• IDA Pro:

• Introduction
  • Prise en main de l’outil (création de scripts)

• Chaine de compilation et binaires

• Fuite d’informations possibles
• Imports d’information dans IDA

3  Système d’exploitation

• Introduction aux systèmes d’exploitation

• Processus vs thread
• Scheduler
• Syscall
• Différence processus vs thread

• Format d’exécutable

• Format PE
  • Présentation des informations

• Structures internes
  • SEH,TEB
  • PEB,SSDT
  • Introduction au « kernel debugging »

4 : Mécanismes de protection (DRM ou packer)

• Introduction aux outils de DRM/Protection de code
  • Comment les identifier ?
  • Quels sont les impacts ?
• Introductions aux différentes techniques de protection :
  • Anti-désassemblage
  • Anti-debogage
  • Obscurcissement du CFG
  • Machine virtuelle
  • Évasion (détection de sandbox/Virtualisation)
• Analyse de packer
  • Présentation de la méthode générique d’unpacking
  • Découverte de l’OEP
  • Reconstruction de la table d’imports
• Miasm2 :
  • Unpacking automatique

5 : Malwares

• Catégoriser les logiciels malveillants en fonction de leurs API
  • Keyloggers
  • Rootkits (userland et kerneland)
  • Sniffers
  • Ransomwares
  • Bots et C2
• Injection de code
• Technique de contournement de flux d’exécution (ie: detour)

• Shellcode

• Techniques et outils d’analyses
  • Miasm2
  • Unicorn Engine

6 : Autres types de malwares

• Malware « Web » (JavaScript/VBScript)
• Analyse statique et dynamique
• Limitation des navigateurs
• Malwares Flash
• Applications mobiles Android
• Documents malveillants
• Suite Office
• PDF
• RTF
• Malwares .Net

7: Threat Intelligence

• Création de signatures Yara
• Communication et base de connaissances
• MISP
• Yeti
• Etude de cas

8 Fin de session 

• Synthèse, question et réponses
• QCM d’évaluation à chaud
• Remise des supports de formation et outils pratiques

Profil formateur

• Expert Référent : Esteban F: Ingénieur Cybersécurité Senior & Expert Forensic.
  • Titres & Certifications : Diplôme d’Ingénieur BAC+5 spécialisé en Cybersécurité, certifié PASSI (Auditeur qualifié par l’ANSSI).
  • Compétences clés : Analyste SOC senior et spécialiste de la réponse aux incidents de sécurité majeurs (DFIR).
  • Maîtrise avancée : Développement d’outils et scripts en Python (scraping), manipulation des frameworks d’OSINT et de Threat Intelligence (Maltego, Spiderfoot, Sherlock), architectures réseaux et techniques avancées d’anonymisation.

Pour allez plus loin

Poursuivez la montée en compétences de vos équipes en Forensic et Investigation Numérique grâce à nos cursus avancés

• Analyse de Malwares Méthodologie et Pratique (2 jours)
  •  Connaitre les  méthodologiques et les techniques indispensables pour aborder sereinement l’analyse de malwares. 
• Analyse Inforensique Windows (5 jours)
  •  Pour maîtriser la collecte de preuves et l’analyse post-mortem des artefacts Microsoft.
• Analyse Inforensique avancée – Niveau 2 (5 jours) 
  • Pour piloter la traque de menaces à l’échelle du réseau et orchestrer la réponse à incident.

L’article Formation Rétroingénierie de Logiciels Malveillants (Reverse) est apparu en premier sur DNDA Formation.

1. Fondamentaux Analyse de Malwares Méthodologie et Pratique

• Introduction à la cyberdéfense : Compréhension des enjeux actuels et positionnement de l’analyse de malwares dans la chaîne de réponse à incident.
• Historique et taxonomie : Évolution technique des codes malveillants, des premiers virus aux ransomwares et stealers modernes.
• Vecteurs d’infection et de compromission : Analyse des mécanismes de pénétration initiale et des techniques de persistance.
• Impacts business et limites défensives : Évaluation des préjudices financiers et opérationnels ; analyse des limites des protections traditionnelles.

JOUR 1 — APRÈS-MIDI (14h00 – 17h30)

2. Architecture Système, Mémoire et Environnement d’Analyse

• Bases internes des systèmes : Étude fine de la séquence de boot, de la gestion des processus et des structures d’exécutables.
• Gestion mémoire et techniques d’obfuscation : Compréhension des mécanismes d’évasion (packers, encoders, techniques d’anti-analyse).
• Conception du laboratoire : Méthodologie rigoureuse pour organiser, configurer et isoler un environnement d’analyse virtuel 100 % sécurisé (Sandbox).

JOUR 2 — MATIN (09h00 – 12h30)

3. Arsenal Technique et Analyse Comportementale

• Prise en main des outils de référence : Manipulation de la suite Microsoft Sysinternals (Procmon, Procexp), de la suite Flare et des outils Mandiant.
• Travaux dirigés tactiques : Méthodologie d’analyse de fichiers PDF suspects et isolement de charges malveillantes.
• Exploitation des Sandbox : Utilisation avancée des plateformes d’analyse dynamique en ligne et locales (VirusTotal, Cuckoo Sandbox, AnyRun).

JOUR 2 — APRÈS-MIDI (14h00 – 17h00)

4. Grand Atelier Pratique : Scénario Réel & Traque (Lab 2)

• Étude de cas Master : Analyse de bout en bout d’une campagne d’attaque cyber réelle et active au sein du laboratoire sécurisé.
• Threat Hunting & Règles YARA : Introduction au langage de description des malwares et écriture de règles YARA personnalisées.
• Restitutions Forensic : Apprentissage des bonnes pratiques de rédaction de rapports d’incident et manipulation de signatures.

JOUR 2 — FIN DE JOURNÉE (17h15 – 17h30)

5. Fin de Session et Clôture

• Synthèse générale : Session ouverte de questions et réponses pour ancrer les compétences.
• Contrôle des connaissances : Passation du QCM technique d’évaluation des acquis

Profil formateur

• Expert Référent : Esteban F: Ingénieur Cybersécurité Senior & Expert Forensic.
  • Titres & Certifications : Diplôme d’Ingénieur BAC+5 spécialisé en Cybersécurité, certifié PASSI (Auditeur qualifié par l’ANSSI).
  • Compétences clés : Analyste SOC senior et spécialiste de la réponse aux incidents de sécurité majeurs (DFIR).
  • Maîtrise avancée : Développement d’outils et scripts en Python (scraping), manipulation des frameworks d’OSINT et de Threat Intelligence (Maltego, Spiderfoot, Sherlock), architectures réseaux et techniques avancées d’anonymisation.

Pour allez plus loin

Poursuivez la montée en compétences de vos équipes en Forensic et Investigation Numérique grâce à nos cursus avancés :

• Analyse Inforensique Windows (5 jours)
  •  Pour maîtriser la collecte de preuves et l’analyse post-mortem des artefacts Microsoft.
• Analyse Inforensique avancée – Niveau 2 (5 jours) 
  • Pour piloter la traque de menaces à l’échelle du réseau et orchestrer la réponse à incident.
• Rétroingénierie de logiciels malfaisants / Reverse Engineering (5 jours) 
  • Pour disséquer le code machine (Ghidra/Radare2) et comprendre l’obfuscation des malwares étatiques.

L’article Analyse de Malwares Méthodologie et Pratique est apparu en premier sur DNDA Formation.