Analyse Inforensique Avancée - FORENSIC2
Version 2024 / 2025

Résumé

La vraisemblance que votre entreprise ou que vos clients soient la victime d'une intrusion est importante. L'objectif de la formation est alors de vous préparer au mieux en vous présentant des techniques et des outils permettant de répondre à un incident de sécurité (du simple prestataire malveillant à des attaques plus complexes). L'ensemble de la formation sera réalisée autours d'un cas fictif d'une compromission d'une entreprise de taille intermédiaire afin de présenter les procédures et techniques à mettre en place permettant d'être scalable en fonction de la taille de votre entreprise.

​

Contenu du cours

Section 1 : Introduction à l'inforensique réseau
 

• Incident de sécurité

  • Présentation

    • Quels sont les étapes d'une intrusion ?

    • Quels impacts de celles-ci ?

• Indices de compromission (IOC)

  • Introduction au threat intel (Misp, Yeti, etc.)

  • Quels sont les outils / ressource à disposition ?

  • Création d'IOC

• Hunting & Triage (à distance ou en local)

  • GRR

  • Kansa

  • OS Query

  • Comment analyser et automatiser l'analyse du résultat de notre hunting ?

    • NSRLDB

    • Packing/Entropie/, etc…

​

Section 2 : Analyse post-mortem réseau
 

• Analyse des journaux des principaux services réseau (DNS, HTTP, SGBD, Pare-feux, Syslog)

• Analyse de capture réseau (PCAP)

• Analyse statistique des flux (Netflow)

• Canaux de communications avec les serveurs de Command and Control

• Détection des canaux de communications cachées (ICMP, DNS)

• Détection des techniques de reconnaissances

• Création de signatures réseaux

​

Section 3 : Mémoire volatile
 

• Introduction aux principales structures mémoires

• Analyse des processus

  • Processus "cachés"

  • Traces d'injection de code et techniques utilisées

  • Process-Hollowing

• Shellcode - détection et analyse du fonctionnement

• Handles

• Communications réseaux

• Kernel : SSDT, IDT, Memory Pool

• Utilisation de Windbg

  • Création de mini-dump

  • Analyse "live" d'un système

 

Section 4 : FileSystem (NTFS only)

 

• Introduction au FS NTFS et aux différents artefacts disponibles

• Présentation de la timerules sous Windows/Linux/OSX

• Timeline filesystem

  • Timestomping + toutes les opérations pouvant entraver une timeline "only fs"

​

Section 5 : Trace d'exécution et mouvement latéraux

 

• Trace de persistances

  • Autostart (Linux/Windows/OSX)

  • Services

  • Tâches planifiées

  • WMI

• Active Directory - Détecter une compromission

  • Comment générer une timeline des objets AD ?

  • Recherche de "backdoor" dans un AD (bta, autres outils, ...)

  • Présentation des principaux EventID et relations avec les outils d'attaques (golden ticket, etc.)

 

Section 6 : Super-Timeline

 

• Présentation

  • Cas d'utilisations

    • Timesketch

​

Section 7 : Quizz de fin de formation

​

Certification

A l'issue de cette formation, le stagiaire a la possibilité de passer un examen ayant pour but de valider les connaissances acquises. Cet examen de type QCM dure 1h30 et a lieu durant la dernière après-midi de formation. La réussite à l'examen donne droit à la certification FORENSIC2.​​

 

Évaluations et sanctions de la formation

• Quizz intermédiaires 

• Lab technique en fin de module

• Évaluation de satisfaction via un questionnaire pré formation, à chaud et à froid

• Attestation de présence et de formation 

​

* Formation distanciel possible :

• de votre entreprise

• de chez vous

• de nos locaux à Sophia Antipolis (équipement Cisco Webex Board)

​

Nos formations sont accessibles aux personnes en situation de handicap.

Un questionnaire envoyé en amont de la formation invite les participants à nous contacter s’ils ont besoins d’aménagements spécifiques en lien avec leur situation de handicap. Nous nous employons à rechercher, avec les personnes concernées, les moyens de compensation qui leur seront adaptés.

Pour en valider l'accès merci de nous contacter contact@formation-IT.org

​