Analyse Forensique – Niveau Expert : Investigation avancée, mémoire et reverse engineering

À l’issue de la formation, les participants seront capables de :

• Réaliser des analyses approfondies de la mémoire vive et des artefacts complexes
• Détecter, analyser et extraire des malwares, rootkits, techniques d’obfuscation et persistence
• Mettre en œuvre des techniques avancées de reverse engineering forensique
• Automatiser des tâches d’analyse et créer des outils personnalisés
• Produire des rapports d’enquête professionnels et exploitables en contexte légal

Mémoire volatile avancée : acquisition et analyse

• Techniques avancées d’acquisition mémoire (WinDbg, FireEye tools, LiME avancé)
• Analyse avancée avec Volatility 3 : extraction de processus cachés, injection de code, hooks, threads suspects
• Analyse des artefacts de la mémoire : credential dumping, dumping de clés de registre, forensics réseau live
• Identification de rootkits et techniques d’évasion mémoire

Analyse forensique avancée disque et fichiers

• Analyse de systèmes de fichiers corrompus, cryptés, ou chiffrés
• Techniques d’extraction et reconstruction de fichiers effacés ou partiellement corrompus
• Analyse des métadonnées avancées et horodatages (NTFS USN journal, shadow copies)
• Extraction d’informations cachées dans les fichiers (stéganographie, métadonnées exotiques)

Reverse engineering appliqué à la forensic

• Introduction aux outils (IDA Pro, Ghidra, Radare2) et méthodologie d’analyse statique et dynamique
• Analyse comportementale de malware, unpacking, détection d’obfuscation
• Extraction d’indicateurs de compromission (IOC) et techniques anti-forensiques
• Automatisation de l’analyse avec scripts Python / plugins Volatility personnalisés

Forensic réseau avancé et corrélation multi-sources

• Analyse approfondie de captures réseau, reconstruction d’attaques complexes
• Corrélation avec logs systèmes et mémoire (timeline multi-sources)
• Détection de techniques avancées d’exfiltration (DNS tunneling, steganographie réseau)
• Utilisation d’outils comme Zeek, Suricata, Moloch (Arkime)

Automatisation et scripts forensiques

• Écriture de scripts Python/PowerShell pour automatiser la collecte et l’analyse de preuves
• Création de plugins Volatility spécifiques aux besoins client
• Intégration avec plateformes SIEM et outils de triage (TheHive, Cortex)
• Gestion de gros volumes de données et analyses multi-machines

Cadre légal, rédaction de rapports et présentation

• Aspects juridiques avancés et bonnes pratiques de la preuve numérique
• Structuration et rédaction d’un rapport d’expertise forensic détaillé
• Présentation orale des conclusions techniques à un public technique et non-technique
• Gestion de la confidentialité et de la traçabilité

Atelier pratique intensif

• Étude de cas complexe : compromission avancée, analyse de mémoire, extraction de malware, corrélation multi-source
• Mise en œuvre complète de la méthodologie d’investigation avancée
• Rédaction d’un rapport final d’enquête et restitution orale

• En cours de formation, par des études de cas ou des travaux pratiques
• Et, en fin de formation, par un questionnaire d'auto-évaluation