08
Digital Forensics
L'art de la scène de crime numérique.
🔍 CSI: Cyber
Répondre à 3 questions : Quoi ? Qui ? Comment ?
Le tout en préservant la validité juridique de la preuve (Chain of Custody).
⏳ Ordre de Volatilité
Quoi récupérer en premier avant que ça disparaisse ?
1. Cache & Registres CPU
Nanosecondes
2. RAM (Mémoire Vive)
Disparaît au reboot
3. Disque Dur (Files)
Persistant
4. Logs & Backups
Archivés ailleurs
🚫 Ne touchez à rien !
La Règle d'Or
Si vous éteignez le PC, vous perdez la RAM.
Si vous l'allumez, vous écrasez les dates de dernier accès.
Faites une copie (Image Disque) et travaillez sur la copie.
🛠️ Outils Volatility
# Scanner les processus en RAM vol.py -f dump.mem windows.pslist # Trouver les connexions réseau vol.py -f dump.mem windows.netscan # Extraire les hashs de mot de passe vol.py -f dump.mem windows.hashdump
🕵️ Les "Traces" (Artefacts)
ShimCache
Preuve d'exécution (Même si EXE effacé)
USBStor
Clés USB connectées (Séries, Dates)
Prefetch
Historique des 10 dernières secondes avant plantage