01 · Acquisition et tri
Premiers pas en investigation forensique Windows
Bien démarrer en DFIR Windows : méthode, ordre de volatilité, collecte, grands domaines de preuves, outils gratuits et plan des 48 premières heures.
Domaine 01
Acquisition et tri
Toute investigation Windows commence par une extraction sûre des données. Ce domaine couvre l'ordre de volatilité, la capture mémoire, l'imagerie forensique et le hachage, BitLocker, la collecte de tri avec KAPE et Velociraptor, et la documentation qui rend vos conclusions défendables.
Sources clés
- KAPE
- FTK Imager
- Velociraptor
Guides de ce domaine
01 · Acquisition et tri
Acquisition et triage Windows avec KAPE et Velociraptor
Acquérir des preuves Windows dans le bon ordre : mémoire d'abord, image disque, BitLocker, triage KAPE et Velociraptor, snapshots cloud et chaîne de possession.
01 · Acquisition et tri
Live response Windows : quoi capturer, et dans quel ordre
La live response Windows en pratique : ordre de volatilité, mémoire d'abord, processus, réseau et sessions, outils de confiance, hashs et traces laissées.
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Clichés instantanés de volume (VSS)Fiche clichés instantanés VSS : fichiers de stockage dans System Volume Information, copie sur écriture, suppression par rançongiciel, montage et analyse.
- hiberfil.sys (fichier d'hibernation)Fiche hiberfil.sys : ce que sauvent l'hibernation et le démarrage rapide, compression selon la version, conversion en image mémoire brute.
- pagefile.sys et swapfile.sysFiche pagefile.sys et swapfile.sys : mémoire paginée sur disque, données récupérables, ClearPageFileAtShutdown, compression et outils de carving.
- Ruches du registreFiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
- DPAPI et Gestionnaire d'identifiantsFiche DPAPI et Gestionnaire d'identifiants : clés maîtresses, coffre Windows, secrets stockés, prérequis de déchiffrement hors ligne et traces de vol.