Principes fondamentaux de la forensique mémoire
Apprenez les bases de la forensique mémoire en analysant les preuves qui n'existent que pendant l'exécution d'un système. Certaines des données les plus précieuses pour la réponse aux incidents, notamment les processus actifs, les connexions réseau en direct, les secrets en texte clair et les artefacts de logiciels malveillants résidant en mémoire, n'atteignent jamais le disque sous une forme exploitable. Ce cours vous apprend à capturer la mémoire, à effectuer un triage rapide et à utiliser Volatility pour enquêter de manière systématique sur les preuves volatiles.
Pourquoi est-ce important ?
La forensique mémoire est souvent le moyen le plus rapide de comprendre un compromis actif. Les artefacts sur disque montrent ce qui a été laissé derrière, mais la RAM peut révéler ce qui se passe en temps réel ou ce qui vient de se produire juste avant la capture. Cela rend l'analyse mémoire particulièrement cruciale pour la réponse aux incidents et le triage des logiciels malveillants.
Ce cours se concentre sur la manipulation pratique des preuves volatiles. Vous apprendrez à capturer une image mémoire, à la parcourir rapidement à la recherche d'indicateurs évidents, puis à utiliser Volatility pour extraire des informations sur les processus et le réseau afin d'étayer une analyse plus approfondie.
Ce que vous allez apprendre
- Capturer la mémoire d'un système en direct tout en préservant les preuves volatiles.
- Effectuer un triage rapide sur une mémoire brute à l'aide d'outils en ligne de commande simples.
- Utiliser Volatility pour inspecter les processus, les connexions et les activités dissimulées.
- Comprendre quels types de preuves sont les plus susceptibles de n'apparaître que dans la RAM.
- Enquêter sur des incidents en direct avec un flux de travail d'analyse mémoire plus clair.
Feuille de route du cours
- Extraction de la mémoire : Capturer une image mémoire à partir d'un système en direct.
- Analyse de la mémoire avec
strings: Utiliser des techniques de triage rapide pour faire ressortir des indicateurs évidents à partir de la mémoire brute. - Introduction à Volatility : Appliquer les plugins Volatility pour inspecter les preuves liées aux processus et au réseau.
- Défi de triage en direct : Capturer et analyser la mémoire lors d'un incident actif pour identifier une activité malveillante dissimulée.
À qui s'adresse ce cours ?
- Aux apprenants passant de la forensique sur disque au triage d'incidents en direct.
- Aux intervenants en réponse aux incidents ayant besoin d'une introduction aux flux de travail d'analyse mémoire.
- Aux analystes en sécurité enquêtant sur des logiciels malveillants, des processus cachés ou des activités réseau volatiles.
Résultats attendus
À la fin de ce cours, vous serez capable de capturer et d'inspecter des preuves en mémoire volatile, d'extraire des indicateurs pertinents sur les processus et le réseau, et d'utiliser l'analyse mémoire pour renforcer vos enquêtes de réponse aux incidents.
