Investigation numérique Linux (Computer Forensics)

Objectifs pédagogiques

• Réaliser des analyses Forensics sur Linux.

Programme

Jour 1

Introduction

• Définition du Forensic
• Les types de Forensics
• Linux et le Forensic
• Principes généraux
• Phases d’investigation
• Les hauts niveaux de process
• Exemple de travaux pratiques (à titre indicatif)
• Réaliser un Toolkit
• Déterminer s’il s’agit d’un incident

Méthodologie

• Minimiser les interférences avec le sujet
• Automatiser les process
• Exemple de travaux pratiques (à titre indicatif)
• Collecter les données volatiles

Analyses

• Rechercher les métadonnées
• Reconstituer une chronologie
• Examiner l’history
• Rechercher les logs
• Collecter les hashes

Exemple de travaux pratiques (à titre indicatif)
Dumper la rame

Jour 2

Création d’images

• Les formats d’images
• Utiliser DD
• Utiliser DCFLDD
• Bloquer les écritures logicielles et matérielles
• Créer une image depuis une VM
• Exemple de travaux pratiques (à titre indicatif)
• Créer une image depuis un disque dur
• Analyse des images

Les partitions

• Le GUID
• Automatiser le montage
• Rechercher toutes les modifications
• Importer les informations dans une base de données
• Examiner les logs
• Exemple de travaux pratiques (à titre indicatif)
• Créer une chronologie
• Analyse du système de fichiers étendu

Les fondamentaux

• Les superblocs
• Caractéristiques du système de fichiers étendu
• Automatisation de l’analyse
• Retrouver les incohérences
• Inodes journalisation
• Analyse de la mémoire Volatility
• Prise en main de Volatility
• Cartographier les process
• Retrouver les informations réseau
• Retrouver les informations du système de fichiers
• Commandes avancées

Exemple de travaux pratiques (à titre indicatif)
Analyse d’un dump mémoire

Jour 3

• Réagir aux attaques avancées
• Etat des attaques PFE
• Analyse mémoire avancée
• Analyse avancée du système de fichiers
• Utiliser MySQL
• Autres recherches
• Exemple de travaux pratiques (à titre indicatif)
• Analyse avancée du système de fichiers
• Malwares
• Les commandes
• Retrouver une signature
• Utiliser les strings
• Utiliser nm
• Utiliser ldd
• Utiliser objdump
• Tracer les appels système
• Tracer les appels de librairies
• Utiliser GNU Debugger
• Obfuscation

Exemple de travaux pratiques (à titre indicatif)
Retrouver une signature sur un malware

Le contenu de ce programme peut faire l’objet d’adaptation selon les niveaux, prérequis et besoins des apprenants.