04 · Preuves d'exécution
Forensique SRUM : usage des applications et octets réseau
Exploiter SRUM (SRUDB.dat) pour prouver quelles applications ont tourné, pour quel utilisateur et combien d'octets elles ont envoyés : tables, SrumECmd.
Guides
09 · USB et périphériques externes
Forensique USB : retrouver clés, utilisateurs et fichiers
Identifier chaque clé USB branchée sur un poste Windows, dater ses connexions, l'attribuer à un utilisateur et prouver quels fichiers en ont été ouverts.
06 · Activité utilisateur
Activité utilisateur : ShellBags, fichiers LNK et Jump Lists
Prouver quels fichiers et dossiers un utilisateur Windows a ouverts, et quand : ShellBags, LNK, Jump Lists, clés MRU, Trust Records Office et Timeline.
06 · Activité utilisateur
Forensique navigateur sous Windows : Chrome, Edge, Firefox
Analyser Chrome, Edge et Firefox sous Windows : History, téléchargements, cookies, sessions, extensions, horodatages WebKit et PRTime, WAL et suppressions.
03 · Journaux d'événements
Analyse forensique des journaux Windows : EVTX et event IDs
Guide pratique des journaux d'événements Windows : format EVTX, canaux clés, event IDs Security et Sysmon, politique d'audit, logs effacés et outils.
01 · Acquisition et tri
Live response Windows : quoi capturer, et dans quel ordre
La live response Windows en pratique : ordre de volatilité, mémoire d'abord, processus, réseau et sessions, outils de confiance, hashs et traces laissées.
10 · Analyse de la mémoire
Analyse mémoire Windows avec Volatility 3 : guide pratique
Acquérir la RAM Windows, exploiter hiberfil et pagefile, puis dérouler Volatility 3 pour trouver code injecté, processus cachés et activité réseau.
02 · Registre
Forensique du Registre Windows : ruches, clés et méthode
Le Registre Windows en forensique : ruches, journaux de transactions, ControlSet, limites du LastWrite, clés supprimées, clés utiles et traitement avec RECmd.
06 · Activité utilisateur
Index Windows Search : analyse de Windows.edb et Windows.db
Exploiter l'index Windows Search : chemins, dates, extraits de contenu, e-mails Outlook et traces de fichiers supprimés. Windows.edb, Windows.db et outils.