Investiguer, préserver, rapporter.

Pour qui

À qui s'adresse cette formation

Analystes SOC niveaux 2 et 3
Membres de CSIRT et de CERT
Administrateurs Active Directory confrontés à une compromission
Consultants en réponse à incident et assureurs cyber

Prérequis

Fondamentaux Windows/Linux, notions réseau. Expérience en sécurité opérationnelle.

Objectifs

À l'issue de la formation

Conduire une investigation forensique dans les règles de l'art, de l'acquisition au rapport
Analyser une image mémoire et un disque compromis
Investiguer une compromission Active Directory et retrouver le compte d'origine
Déterminer si des données ont été exfiltrées, lesquelles, et par quel canal
Identifier le vecteur d'entrée initial et reconstruire la timeline complète de l'attaque
Produire un rapport défendable devant un juge, un assureur et un client

Certifications associées

GCFE, GCFA (GIAC), CHFI

Programme

Ce que vous apprendrez.

Jour 1

Méthode, acquisition et triage

Phases de réponse à incident (PICERL) et décisions des premières heures
Acquisition forensique légale : disque, mémoire vive, flux réseau
Chaîne de custody et intégrité des preuves : ce qui rend un rapport opposable
Triage rapide : les artefacts à collecter en priorité quand le temps manque
Outils : KAPE, FTK Imager, WinPmem, Velociraptor

Jour 2

Investigation hôte et Active Directory

Analyse mémoire avec Volatility 3 : processus, injections, credentials en clair
Journaux Windows : les identifiants d'évènement qui comptent vraiment (4624, 4672, 4768, 4769, 4662, 5145)
Investigation Active Directory : remonter d'un compte compromis au compte d'origine
Traces des attaques classiques côté défense : Kerberoasting, DCSync, délégations, abus de certificats
Persistance : tâches planifiées, services, ACL modifiées, comptes fantômes
Retrouver le vecteur d'entrée initial : pièce jointe, service exposé, identifiant volé, prestataire

Jour 3

Exfiltration, timeline et rapport

Rechercher l'exfiltration : volumétrie, DNS, HTTPS, stockage cloud, outils légitimes détournés
Déterminer ce qui est parti : reconstitution du périmètre de données concerné
Reconstruction de la timeline complète (Plaso, log2timeline) et corrélation multi-sources
Analyse d'un scénario ransomware de bout en bout, du phishing au chiffrement
Rédaction du rapport : faits, hypothèses, niveaux de confiance - et ce qu'on n'écrit jamais
Restitution à une direction et à un assureur : ce qu'ils attendent réellement

Planning

Prochaines sessions.

📅

19 – 21 octobre 2026 Paris · Présentiel ou distanciel

3 places

📅

15 – 17 février 2027 Paris · Présentiel ou distanciel

7 places

📅

14 – 16 juin 2027 À distance · Distanciel

8 places

Réserver ma place →

Inclus dans le prix

Ce qui est compris

Images forensiques fournies : poste Windows compromis et contrôleur de domaine
Scénarios ransomware et intrusion APT complets, avec corrigés
Journaux Active Directory d'une compromission réelle anonymisée
Grille de recherche d'exfiltration réutilisable
Templates de rapport forensique et de restitution direction
Accès Discord communauté 6 mois

✓ Formation Qualiopi — financement OPCO possible.

Sur le blog

Ces sujets, en version lecture

Voir le blog →

10 juillet 2026

Comment les groupes ransomware fixent leurs prix

Ce que la grille tarifaire des groupes de rançongiciel dit de leur connaissance de votre entreprise, et de ce qu'ils ont eu le temps de lire avant de chiffrer.

Lire l'article →

30 mai 2026

Un log, toute l'entreprise

Ce qu'une seule ligne de journal exposée permet de reconstruire d'une organisation entière, et pourquoi personne ne la surveille.