Formation Forensic - Windows - Niveau avancé
Description
Mener une investigation numérique experte dans des environnements Windows complexes, en intégrant des contraintes opérationnelles, réglementaires et stratégiques (NIS2, LPM, post-crise), et produire des livrables exploitables à destination des directions SSI Groupe.
- Déployer une stratégie de forensic avancée adaptée aux environnements Windows industriels et multisites.
- Exploiter les artefacts, la mémoire vive, les journaux et le Registre pour identifier l’origine d’un incident.
- Reconstituer la chronologie d’une attaque en environnement critique (IT/OT, AD, réseau).
- Proposer des éléments de preuve solides dans une logique juridique, post-incident ou contentieuse.
- Produire une restitution opérationnelle pour RSSI, SOC et direction de crise.
- RSSI Groupe / entités critiques
- Analystes SOC niveau 3
- Référents forensic / réponse à incident
- Auditeurs cybersécurité expérimentés
- Experts judiciaires ou sécurité SI industriels
- 10 à 15 ans d’expérience en cybersécurité, forensic ou réponse à incident.
- Maîtrise avancée de l’architecture Windows (AD, Registre, NTFS, services réseau).
- Expérience dans l’analyse post-incident ou l’investigation numérique.
- 1
Partie 1 – Positionner le forensic dans une logique groupe et de crise (3h)
- Cadre réglementaire applicable (NIS2, LPM, RGPD, pénal, RGS)
- Organisation d'une réponse à incident dans un grand groupe
- Intégration du forensic dans la chaîne SOC – CERT – RSSI
- Cas pratique :
- 2
Analyse d’un incident en environnement critique (AD et fichiers infectés)
- 3
Préparation d’un rapport à destination de la direction SSI
- 4
Partie 2 – Acquisition forensique avancée (4h)
- Techniques avancées de collecte de preuves (disques, RAM, snapshots, logs distants)
- Acquisition volatile et persistante en environnement Windows post-attaque
- Détection d’effacements ou manipulations malveillantes (anti-forensic)
- Cas pratique :
- 5
Récupération complète d’un disque effacé par un ransomware
- 6
Identification de l’anti-forensic utilisé et reconstitution chronologique
- 7
Partie 3 – Artefacts Windows & reconstitution d’activité (3h30)
- Journalisation avancée (Event Viewer, journaux AD, journaux PowerShell)
- Analyse du Registre, Prefetch, RecentDocs, Shellbags, Jump Lists
- Chronologie multi-artefacts : Timeline d’un utilisateur et d’un attaquant
- Cas pratique :
- 8
Élaboration d’une timeline d’attaque avec escalade de privilèges
- 9
Corrélation des artefacts entre comptes locaux, AD et services distants
- 10
Partie 4 – Mémoire vive & réseau : analyse temps réel (3h30)
- Analyse RAM avec Volatility, DumpIt, Rekall
- Recherche de processus injectés, rootkits, connexions réseau suspectes
- Corrélation mémoire / services / fichiers temporaires
- Cas pratique :
- 11
Identification d’un malware fileless en mémoire
- 12
Reconstitution des canaux de communication réseau utilisés
- 13
Partie 5 – Stéganographie, persistence et exfiltration (3h30)
- Détection et extraction de données cachées (stéganographie, ADS, WMI)
- Analyse des techniques de persistence avancées (Run Keys, services masqués)
- Étude des canaux d’exfiltration (OneDrive, Slack, DNS, HTTP covert)
- Cas pratique :
- 14
Analyse d’un canal d’exfiltration de données via DNS
- 15
Détection d’un mécanisme de persistence basé sur WMI et tâches planifiées
- 16
Partie 6 – Restitution et communication stratégique (3h30)
- Structuration du rapport forensic pour direction, DPO, RSSI et juridique
- Gestion de la chaîne de preuve : documentation, datation, reproductibilité
- Préparation à l’audit post-incident ou à une procédure contentieuse
- Cas pratique :
- 17
Rédaction d’un rapport post-incident intégrant preuves, chronologie, causes racines
- 18
Présentation orale simulée à un comité de crise Groupe (COMEX)
Ils nous font Confiance
Nos partenaires de confiance
Questions fréquentes
FAQ : Formation Forensic - Windows - Niveau avancé
Oui, mais la prise en charge d'une formation professionnelle par un OPCO dépend de votre opérateur de compétences, de votre branche d'activité et des critères de financement applicables. Ascent Formation vous accompagne dans l'identification des possibilités de financement adaptées à votre entreprise.
Une formation inter-entreprises réunit des participants issus de différentes organisations, tandis qu'une formation intra-entreprise est organisée pour les collaborateurs d'une même entreprise. Le format intra permet notamment d'adapter le contenu et les modalités aux besoins spécifiques de vos équipes.
Selon la formation proposée, il est possible de suivre une formation professionnelle à distance, en présentiel ou selon d'autres modalités disponibles. Consultez les informations de la session concernée ou contactez-nous pour connaître les formats possibles.
Oui, une formation professionnelle peut être adaptée aux objectifs, au niveau des participants et aux besoins opérationnels de votre entreprise. Ascent Formation vous propose des parcours personnalisés pour accompagner le développement des compétences de vos équipes.
Formations similaires
CybersécuritéFormation Administration et sécurité des appareils et applications mobiles - ANDROID et IOS (3-017)
CybersécuritéFormation Analyse de Malware - Fondamentaux
CybersécuritéFormation Analyse de Malware - Techniques avancées
Cybersécurité