01 · Acquisition et tri
Acquisition et triage Windows avec KAPE et Velociraptor
Acquérir des preuves Windows dans le bon ordre : mémoire d'abord, image disque, BitLocker, triage KAPE et Velociraptor, snapshots cloud et chaîne de possession.
Articles étiquetés: #dfir
03 · Journaux d'événements
Forensic Active Directory : logs des contrôleurs de domaine
Enquêter sur les DC : événements Kerberos et NTLM, comptes et groupes, DCSync 4662, modifications d'annuaire, abus de GPO, vol de NTDS.dit, tickets forgés.
08 · Mouvement latéral
Vol d'identifiants Windows : LSASS, DCSync et Kerberoasting
Enquêter sur le vol d'identifiants Windows : dumps LSASS, SAM et NTDS.dit, DCSync, DPAPI, Kerberoasting et AS-REP roasting, avec événements et ATT&CK.
11 · Anti-forensique
Anti-forensique Windows : détecter les traces qui subsistent
Détecter effacement de journaux, timestomping, suppression sécurisée, destruction des VSS et neutralisation de Defender, avec ATT&CK et les traces laissées.
07 · Persistance
Chasser la persistance Windows : registre, tâches, WMI
Détecter la persistance d'un attaquant sous Windows : clés Run, services, tâches planifiées, WMI, Winlogon, IFEO, COM et BITS, avec MITRE ATT&CK et outils.
08 · Mouvement latéral
Mouvement latéral : traces RDP, PsExec, WMI et WinRM
Artefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral.
05 · NTFS et système de fichiers
Forensique NTFS : $MFT, journal USN et $LogFile décryptés
Lire NTFS en analyste : structure des enregistrements MFT, horodatages $SI et $FN, timestomping, flags USN, $LogFile, slack $I30 et fichiers supprimés.
04 · Preuves d'exécution
Forensic du phishing : MotW, ISO, LNK et accès initial
Remonter un phishing de l'e-mail à la première exécution : fichiers temporaires Outlook, Zone.Identifier, contournement MotW par ISO et LNK, macros, LOLBins.
08 · Mouvement latéral
Outils d'accès distant : forensic d'AnyDesk et TeamViewer
Enquêter sur les outils RMM et d'accès à distance détournés : traces d'installation, journaux par outil, ID et IP de session, transferts de fichiers, usage IT.
04 · Preuves d'exécution
Forensique SRUM : usage des applications et octets réseau
Exploiter SRUM (SRUDB.dat) pour prouver quelles applications ont tourné, pour quel utilisateur et combien d'octets elles ont envoyés : tables, SrumECmd.
09 · USB et périphériques externes
Forensique USB : retrouver clés, utilisateurs et fichiers
Identifier chaque clé USB branchée sur un poste Windows, dater ses connexions, l'attribuer à un utilisateur et prouver quels fichiers en ont été ouverts.
06 · Activité utilisateur
Activité utilisateur : ShellBags, fichiers LNK et Jump Lists
Prouver quels fichiers et dossiers un utilisateur Windows a ouverts, et quand : ShellBags, LNK, Jump Lists, clés MRU, Trust Records Office et Timeline.
06 · Activité utilisateur
Forensique navigateur sous Windows : Chrome, Edge, Firefox
Analyser Chrome, Edge et Firefox sous Windows : History, téléchargements, cookies, sessions, extensions, horodatages WebKit et PRTime, WAL et suppressions.
03 · Journaux d'événements
Analyse forensique des journaux Windows : EVTX et event IDs
Guide pratique des journaux d'événements Windows : format EVTX, canaux clés, event IDs Security et Sysmon, politique d'audit, logs effacés et outils.
01 · Acquisition et tri
Live response Windows : quoi capturer, et dans quel ordre
La live response Windows en pratique : ordre de volatilité, mémoire d'abord, processus, réseau et sessions, outils de confiance, hashs et traces laissées.
10 · Analyse de la mémoire
Analyse mémoire Windows avec Volatility 3 : guide pratique
Acquérir la RAM Windows, exploiter hiberfil et pagefile, puis dérouler Volatility 3 pour trouver code injecté, processus cachés et activité réseau.
02 · Registre
Forensique du Registre Windows : ruches, clés et méthode
Le Registre Windows en forensique : ruches, journaux de transactions, ControlSet, limites du LastWrite, clés supprimées, clés utiles et traitement avec RECmd.
06 · Activité utilisateur
Index Windows Search : analyse de Windows.edb et Windows.db
Exploiter l'index Windows Search : chemins, dates, extraits de contenu, e-mails Outlook et traces de fichiers supprimés. Windows.edb, Windows.db et outils.
12 · Analyse de chronologie
Construire une super timeline avec Plaso
Construire et filtrer une super timeline Windows avec Plaso : options de log2timeline, psteal et psort, fuseaux, MACB, Timeline Explorer, CSV EZ Tools, pivots.
04 · Preuves d'exécution
Preuves d'exécution : Prefetch, Amcache, BAM et autres
Prouver qu'un programme a tourné sous Windows, pas seulement existé : Prefetch, ShimCache, Amcache, BAM, UserAssist, SRUM, PCA, WER et 4688 comparés.
01 · Acquisition et tri
Premiers pas en investigation forensique Windows
Bien démarrer en DFIR Windows : méthode, ordre de volatilité, collecte, grands domaines de preuves, outils gratuits et plan des 48 premières heures.