01 · Acquisition et tri
Acquisition et triage Windows avec KAPE et Velociraptor
Acquérir des preuves Windows dans le bon ordre : mémoire d'abord, image disque, BitLocker, triage KAPE et Velociraptor, snapshots cloud et chaîne de possession.
21 guides détaillés
Guides
Guides DFIR Windows détaillés : registre, journaux, exécution, NTFS, persistance, mouvement latéral, USB, mémoire et chronologies.
03 · Journaux d'événements
Forensic Active Directory : logs des contrôleurs de domaine
Enquêter sur les DC : événements Kerberos et NTLM, comptes et groupes, DCSync 4662, modifications d'annuaire, abus de GPO, vol de NTDS.dit, tickets forgés.
08 · Mouvement latéral
Vol d'identifiants Windows : LSASS, DCSync et Kerberoasting
Enquêter sur le vol d'identifiants Windows : dumps LSASS, SAM et NTDS.dit, DCSync, DPAPI, Kerberoasting et AS-REP roasting, avec événements et ATT&CK.
11 · Anti-forensique
Anti-forensique Windows : détecter les traces qui subsistent
Détecter effacement de journaux, timestomping, suppression sécurisée, destruction des VSS et neutralisation de Defender, avec ATT&CK et les traces laissées.
07 · Persistance
Chasser la persistance Windows : registre, tâches, WMI
Détecter la persistance d'un attaquant sous Windows : clés Run, services, tâches planifiées, WMI, Winlogon, IFEO, COM et BITS, avec MITRE ATT&CK et outils.
08 · Mouvement latéral
Mouvement latéral : traces RDP, PsExec, WMI et WinRM
Artefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral.
05 · NTFS et système de fichiers
Forensique NTFS : $MFT, journal USN et $LogFile décryptés
Lire NTFS en analyste : structure des enregistrements MFT, horodatages $SI et $FN, timestomping, flags USN, $LogFile, slack $I30 et fichiers supprimés.
04 · Preuves d'exécution
Forensic du phishing : MotW, ISO, LNK et accès initial
Remonter un phishing de l'e-mail à la première exécution : fichiers temporaires Outlook, Zone.Identifier, contournement MotW par ISO et LNK, macros, LOLBins.
08 · Mouvement latéral
Outils d'accès distant : forensic d'AnyDesk et TeamViewer
Enquêter sur les outils RMM et d'accès à distance détournés : traces d'installation, journaux par outil, ID et IP de session, transferts de fichiers, usage IT.