Analyser des malwares et investiguer les attaques avancées

Le forensic numérique est l'art de reconstituer ce qui s'est passé sur un système après une compromission. Ce premier module forme aux fondamentaux : acquisition forensiquement saine des preuves (sans altération), analyse des artefacts Windows et Linux, et investigation de la mémoire vive — souvent la mine d'or pour comprendre une attaque. Jour 1 — Principes du forensic numérique : chaîne de conservation, intégrité des preuves, scellement, conformité judiciaire (CNIL, ANSSI, dépôt de plainte). Jour 2 — Acquisition disque : write-blockers, imaging (dd, FTK Imager, dcfldd), hashs MD5/SHA256, formats E01/AFF/RAW. Jour 3 — Forensic Windows : registres (NTUSER, SAM, SYSTEM), Event Logs, Prefetch, Shimcache, AmCache, MFT, USN Journal, Volume Shadow Copies. Jour 4 — Forensic Linux : journaux systèmes, bash history, cron jobs, persistence mechanisms, timestamps (atime/mtime/ctime). Jour 5 — Acquisition et analyse mémoire : Volatility 3, Rekall, dump de RAM (LiME, WinPmem), recherche de processus malveillants, injection mémoire, rootkits.