Analyse Inforensique avancée niv 2

Introduction à l’inforensique réseau

• Incident de sécurité
  • Présentation
  • Quels sont les étapes d’une intrusion ?
  • Quels impacts de celles-ci ?
  • Indices de compromission (IOC)
• Introduction au threat intel (Misp, Yeti, etc.)
  • Quels sont les outils / ressource à disposition ?
  • Création d’IOC
  • Hunting & Triage (à distance ou en local)
  • GRR, Kansa, OS Query,
• Comment analyser et automatiser l’analyse du résultat de notre Hunting ?
  • NSRLDB
  • Packing/Entropie/, etc…

Analyse forensic post-mortem réseau

• Analyse des journaux des principaux services réseau (DNS, HTTP, SGBD, Pare-feu, Syslog)
• Analyse de capture réseau (PCAP)
• Analyse statistique des flux (Netflow)
• Canaux de communications avec les serveurs de Command and Control
• Détection des canaux de communications cachées (ICMP, DNS)
• Détection des techniques de reconnaissances
• Création de signatures réseaux

Mémoire volatile

• Introduction aux principales structures mémoires
• Analyse des processus
  • Processus “cachés”
  • Traces d’injection de code et techniques utilisées
  • Process-Hollowing
• Shell code – détection et analyse du fonctionnement
• Handles
• Communications réseaux
• Kernel : SSDT, IDT, Memory Pool
• Utilisation de Windbg
• Création de mini-dump
• Travaux pratique
  • Analyse “live” d’un système

FileSystem (NTFS only)

• Introduction au FS NTFS et aux différents artefacts disponibles
• Présentation de la timerules sous Windows/Linux/OSX
• Timeline filesystemTim
• Testomping + toutes les opérations pouvant entravers une timeline “only fs“

Trace d’exécution et mouvement latéraux

• Trace de persistances
• Autostart (Linux/Windows/OSX)
• Services
  • Tâches planifiées
  • WMI
• Travaux Pratique investigation forensic 
  • Active Directory – Détecter une compromission
  • Comment générer une timeline des objets AD ?
  • Recherche de “backdoor” dans un AD (bta, autres outils, …)
  • Présentation des principaux EventID et relations avec les outils d’attaques (golden ticket, etc.)

Super-Timeline

• Présentation
• Cas d’utilisations
  • Timesketch 

Evaluation

• Via QCM et apport des correctifs

Autre formation complementaires