Investigation numérique Linux (Computer Forensics)

Jour 1

Introduction

• Définition du Forensic
• Les types de Forensics
• Linux et le Forensic
• Principes généraux
• Phases d'investigation
• Les hauts niveaux de process

Exemple de travaux pratiques (à titre indicatif)

• Réaliser un Toolkit

Déterminer s'il s'agit d'un incident

• Méthodologie
• Minimiser les interférences avec le sujet
• Automatiser les process

Exemple de travaux pratiques (à titre indicatif)

• Collecter les données volatiles

Analyses

• Rechercher les métadonnées
• Reconstituer une chronologie
• Examiner l'history
• Rechercher les logs
• Collecter les hashes

Exemple de travaux pratiques (à titre indicatif)

• Dumper la rame

Jour 2

Création d'images

• Les formats d'images
• Utiliser DD
• Utiliser DCFLDD
• Bloquer les écritures logicielles et matérielles
• Créer une image depuis une VM

Exemple de travaux pratiques (à titre indicatif)

• Créer une image depuis un disque dur

Analyse des images

• Les partitions
• Le GUID
• Automatiser le montage
• Rechercher toutes les modifications
• Importer les informations dans une base de données
• Examiner les logs

Exemple de travaux pratiques (à titre indicatif)

• Créer une chronologie

Analyse du système de fichiers étendu

• Les fondamentaux
• Les superblocs
• Caractéristiques du système de fichiers étendu
• Automatisation de l'analyse
• Retrouver les incohérences
• Inodes journalisation

Analyse de la mémoire Volatility

• Prise en main de Volatility
• Cartographier les process
• Retrouver les informations réseau
• Retrouver les informations du système de fichiers
• Commandes avancées

Exemple de travaux pratiques (à titre indicatif)

• Analyse d'un dump mémoire

Jour 3

Réagir aux attaques avancées

• Etat des attaques PFE
• Analyse mémoire avancée
• Analyse avancée du système de fichiers
• Utiliser MySQL
• Autres recherches

Exemple de travaux pratiques (à titre indicatif)

• Analyse avancée du système de fichiers

Malwares

• Les commandes
• Retrouver une signature
• Utiliser les strings
• Utiliser nm
• Utiliser ldd
• Utiliser objdump
• Tracer les appels système
• Tracer les appels de librairies
• Utiliser GNU Debugger
• Obfuscation

Exemple de travaux pratiques (à titre indicatif)

• Retrouver une signature sur un malware

Le contenu de ce programme peut faire l'objet d'adaptation selon les niveaux, prérequis et besoins des apprenants.

Modalités d’évaluation des acquis

• En cours de formation, par des études de cas ou des travaux pratiques
• Et, en fin de formation, par un questionnaire d'auto-évaluation