01 · Acquisition et tri
Acquisition et triage Windows avec KAPE et Velociraptor
Acquérir des preuves Windows dans le bon ordre : mémoire d'abord, image disque, BitLocker, triage KAPE et Velociraptor, snapshots cloud et chaîne de possession.
Référence terrain DFIR Windows
Investiguez les postes Windows en toute confiance.
Où se trouvent les preuves, ce qu'elles prouvent et comment les analyser : registre, journaux d'événements, Prefetch et Amcache, NTFS, ShellBags et LNK, persistance, mouvement latéral, USB et mémoire.
- fiches artefacts
- 75
- guides détaillés
- 21
- domaines d'investigation
- 12
super-chronologie · WKS-FIN-07UTC
- 02:13:07Security 4624Logon type 10 (RDP) · svc-backup from 203.0.113.50
- 02:13:52$MFTC:\Users\Public\rc.exe created · $SI = $FN
- 02:14:05PrefetchRC.EXE-4F2A9C1D.pf · run count 1
- 02:14:06Amcache.hverc.exe · SHA-1 9f1c…e04b · unsigned
- 02:15:10System 7045Service installed: WinSvcHelper → rc.exe
- 02:16:44NTUSER.DATRun\OneDriveSync → C:\Users\Public\rc.exe
- 02:31:55Security 1102The audit log was cleared · svc-backup
PS>psort.py -o l2tcsv -w case.csv case.plaso "date > '2026-03-14 02:10:00'"
C:\Preuves\
La carte de l'investigation Windows
Douze domaines couvrent les preuves qui comptent sur un poste Windows compromis. Chacun renvoie vers des guides détaillés et vers les fiches artefacts correspondantes.
- 01
Acquisition et tri
Capturer la mémoire, imager les disques et lancer des collectes de tri sans altérer les preuves.
- KAPE
- FTK Imager
- Velociraptor
3 guides5 artefacts - 02
Registre
Lire les ruches hors ligne : configuration système, comptes, listes MRU et dates de dernière écriture.
- SYSTEM
- NTUSER.DAT
- UsrClass.dat
1 guide10 artefacts - 03
Journaux d'événements
Connexions, créations de processus, services et PowerShell : les ID d'événements qui portent une enquête.
- Security.evtx
- Sysmon
- 4624 / 4688
2 guides8 artefacts - 04
Preuves d'exécution
Prouver qu'un programme s'est exécuté, quand, combien de fois et d'où, et savoir quels artefacts ne prouvent que sa présence.
- Prefetch
- Amcache.hve
- ShimCache
3 guides14 artefacts - 05
NTFS et système de fichiers
Lire la MFT, le journal USN et le $LogFile pour reconstituer créations, renommages, suppressions et timestomping.
- $MFT
- $UsnJrnl:$J
- $LogFile
1 guide8 artefacts - 06
Activité utilisateur
Reconstituer les fichiers et dossiers qu'un utilisateur a ouverts, recherchés et parcourus, et quand.
- ShellBags
- LNK
- Jump Lists
3 guides21 artefacts - 07
Persistance
Traquer clés Run, services, tâches planifiées, abonnements WMI, IFEO et détournements COM.
- Run keys
- Services
- Scheduled Tasks
1 guide11 artefacts - 08
Mouvement latéral
Tracer RDP, PsExec, WMI et WinRM entre machines, côté source comme côté destination.
- 4624 type 10
- PsExec
- WinRM
3 guides10 artefacts - 09
USB et périphériques externes
Identifier les périphériques, leurs première et dernière connexions, l'utilisateur qui les a montés et les fichiers ouverts depuis ceux-ci.
- USBSTOR
- setupapi.dev.log
- Partition/Diagnostic
1 guide7 artefacts - 10
Analyse de la mémoire
Capturer la RAM et l'analyser avec Volatility 3 et MemProcFS pour trouver du code injecté et des connexions actives.
- Volatility 3
- hiberfil.sys
- pagefile.sys
1 guide4 artefacts - 11
Anti-forensique
Détecter l'effacement des journaux, le timestomping, les effacements sécurisés et la suppression des clichés instantanés, et retrouver ce qui survit.
- 1102
- vssadmin
- SDelete
1 guide8 artefacts - 12
Analyse de chronologie
Fusionner toutes les sources en une super-chronologie UTC et pivoter depuis un instant suspect connu.
- Plaso
- Timeline Explorer
- MACB
1 guide6 artefacts
méthode
De la première alerte à une chronologie défendable
Les cinq mêmes phases s'appliquent, que vous examiniez un portable ou tout un domaine Active Directory.
- 01
Préserver
Capturer la mémoire d'abord, puis imager les disques ou figer les VM, tout hacher et journaliser chaque action.
- 02
Trier
Récupérer ruches, journaux, Prefetch, $MFT et artefacts utilisateur en quelques minutes avec KAPE ou Velociraptor.
- 03
Analyser
Prouver exécution, accès aux fichiers, persistance et connexions avec le bon artefact pour chaque question.
- 04
Corréler
Fusionner registre, journaux et NTFS en une super-chronologie UTC, puis pivoter.
- 05
Rapporter
Dire ce que prouve chaque artefact, ce qu'il ne prouve pas, et comment vous l'avez vérifié.
fiches
Chaque artefact sur une page
75 fiches donnent l'emplacement selon la version de Windows, ce que prouve l'artefact, comment lire ses horodatages, comment le collecter et quels outils l'analysent.
guides
Derniers guides
03 · Journaux d'événements
Forensic Active Directory : logs des contrôleurs de domaine
Enquêter sur les DC : événements Kerberos et NTLM, comptes et groupes, DCSync 4662, modifications d'annuaire, abus de GPO, vol de NTDS.dit, tickets forgés.
08 · Mouvement latéral
Vol d'identifiants Windows : LSASS, DCSync et Kerberoasting
Enquêter sur le vol d'identifiants Windows : dumps LSASS, SAM et NTDS.dit, DCSync, DPAPI, Kerberoasting et AS-REP roasting, avec événements et ATT&CK.
11 · Anti-forensique
Anti-forensique Windows : détecter les traces qui subsistent
Détecter effacement de journaux, timestomping, suppression sécurisée, destruction des VSS et neutralisation de Defender, avec ATT&CK et les traces laissées.
07 · Persistance
Chasser la persistance Windows : registre, tâches, WMI
Détecter la persistance d'un attaquant sous Windows : clés Run, services, tâches planifiées, WMI, Winlogon, IFEO, COM et BITS, avec MITRE ATT&CK et outils.
08 · Mouvement latéral
Mouvement latéral : traces RDP, PsExec, WMI et WinRM
Artefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral.
glossaire
Parlez le même langage
Des définitions courtes et précises des termes rencontrés dans les investigations Windows.
Ouvrir le glossaire- Flux de données alternatif (ADS)
- Anti-forensique
- ControlSet et CurrentControlSet
- Base ESE (Extensible Storage Engine)
- Event Tracing for Windows (ETW)
- ID d'événement Windows
- Preuve d'exécution
- Carving de fichiers
- Slack de fichier
- FILETIME
- AppID de Jump List
- LastWrite d'une clé de Registre
- Mouvement latéral
- Type d'ouverture de session (logon type)
- LOLBin (binaire living-off-the-land)
- Mark of the Web (MOTW)
- Numéro de référence de fichier MFT
- NTFS
- NTUSER.DAT
- Persistance
- Journaux de transactions du Registre (.LOG1/.LOG2)
- Données résidentes
- Identifiant de sécurité (SID)
- Élément shell (ShellItem / PIDL)
- Journal WAL SQLite (-wal)
- $STANDARD_INFORMATION et $FILE_NAME
- Super timeline
- Collecte de triage
- Espace non alloué
- UsrClass.dat
- UTC et heure locale dans les artefacts Windows
- Numéro de série de volume
- Chaîne de possession
- Horodatages MACB
- Master File Table (MFT)
- Ordre de volatilité
- Ruche du Registre
- Timestomping
- Cliché instantané de volume (VSS)
- Bloqueur d'écriture