Investigation Forensic Windows

Objectifs d’une investigation (techniques, conformité, preuve, aide à la décision)
Définition du périmètre : poste/serveur, compte(s), période, hypothèses, priorisation
Rôles & responsabilités : first responder vs analyste, interactions SOC/CSIRT/IT
Principes de traçabilité : journal d’actions, gestion des accès, conservation des éléments
Bonnes pratiques de traitement de la preuve numérique (référentiels de type ISO/IEC 27037)

Stratégies d’acquisition : triage vs acquisition complète, volatil vs persistant
Acquisition “à chaud” / “à froid” : impacts, risques, arbitrages
Intégrité : hachage, scellés logiques, contrôles de cohérence, chaîne de possession
Gestion des supports spécifiques : postes distants, VM, supports chiffrés (selon contexte)
Organisation des données : nomenclature, stockage, gestion des volumes et de la confidentialité

Rappels OS : comptes, sessions, permissions, services, tâches planifiées
Systèmes de fichiers & horodatages : lecture, interprétation, limites
Registre Windows : structure, logique d’extraction, typologies d’artefacts
Journaux & traces système : Event Logs, traces sécurité, applications et sécurité endpoint
Gestion des pièges classiques : horloges, timezone, nettoyage, artefacts manquants

Indices d’exécution et d’utilisation (selon version/paramétrage) : programmes lancés, historique d’ouverture, traces d’installation
Persistance : mécanismes courants (services, tâches, clés registre, démarrage, etc.)
Activité fichiers/dossiers : création, modification, accès, suppressions et récupération
Périphériques & mobilité : USB, Wi-Fi, profils, connexions, empreintes d’usage
Indicateurs de compromission : comportements suspects, anomalies de configuration, contournements

Traces navigateur : historique, téléchargements, cookies/cache (selon navigateur)
Artefacts liés aux documents : pièces jointes, fichiers récents, accès partagés
Messagerie : indices côté poste (client), notions de collecte côté serveur (si applicable)
Scénarios d’attaque orientés utilisateur : phishing, drive-by, pièces jointes malveillantes
Signaux d’exfiltration : volumes, destinations, outils, “data staging” (selon contexte)

Méthode de corrélation multi-sources (logs, registre, FS, artefacts applicatifs)
Construction d’une timeline : granularité, normalisation, gestion des incertitudes
Qualification de l’incident : TTP, chronologie, périmètre impacté, zones d’ombre
Documentation : éléments probants, hypothèses, limites, répétabilité