Formation Certification GIAC GCFA®

Programme de notre formation GIAC GCFA®

[Jour 1 – Matin]

Cadre de la certification et démarche forensic

• Présentation de la certification GIAC Certified Forensic Analyst et des compétences évaluées
• Format de l’examen, environnement surveillé, gestion du temps et préparation des supports autorisés
• Rôle de l’analyste dans la réponse à incident et articulation avec le SOC
• Cycle d’investigation : préparation, collecte, analyse, qualification et restitution
• Chaîne de conservation, intégrité des preuves et traçabilité des actions
• Atelier pratique : analyser un scénario d’intrusion et définir un plan d’investigation priorisé

[Jour 1 – Après-midi]

Fondamentaux des artefacts Windows

• Architecture Windows, comptes, services, processus et emplacements clés
• Sources de preuves sur disque, en mémoire et dans les journaux système
• Artefacts d’exécution et de persistance : principes d’interprétation
• Collecte ciblée et distinction entre activité normale, suspecte et malveillante
• Méthode de prise de notes et construction d’un index de révision pour l’examen
• Atelier pratique : identifier les artefacts pertinents dans une image Windows compromise

[Jour 2 – Matin]

Analyse NTFS et investigation sur disque

• Organisation du système de fichiers NTFS et couches de données, métadonnées et noms de fichiers
• Lecture des entrées de la MFT et interprétation des attributs principaux
• Analyse des horodatages et détection des incohérences temporelles
• Fichiers supprimés, données résidentes et non résidentes, liens et flux alternatifs
• Recherche d’indices de dissimulation et d’anti-forensic sur le stockage

[Jour 2 – Après-midi]

Exécution, persistance et traces utilisateur

• Analyse des preuves d’exécution de programmes et de scripts
• Artefacts liés aux utilisateurs, aux documents récents et aux périphériques
• Points de persistance : registre, tâches planifiées, services et dossiers de démarrage
• Corrélation des traces pour caractériser une chaîne d’attaque
• Préparation aux questions de certification portant sur les artefacts Windows
• Atelier pratique : reconstituer l’exécution d’un outil malveillant et son mécanisme de persistance

[Jour 3 – Matin]

Forensic mémoire et activité volatile

• Principes d’acquisition et d’analyse de la mémoire vive
• Processus, threads, handles, pilotes et connexions réseau en mémoire
• Détection des processus anormaux, des injections de code et des rootkits
• Analyse des lignes de commande, objets résidents et artefacts réseau volatils
• Qualification des preuves mémoire au regard du contexte système

[Jour 3 – Après-midi]

Détection des techniques adverses

• Étapes d’une intrusion avancée et raisonnement fondé sur les comportements adverses
• Identification des accès initiaux, mouvements latéraux et élévations de privilèges
• Techniques d’évasion, de camouflage et d’anti-forensic
• Indicateurs de compromission et hypothèses de chasse aux menaces
• Passage de l’observation technique à la qualification d’un incident
• Atelier pratique : analyser une capture mémoire pour identifier une injection de code et une connexion suspecte

[Jour 4 – Matin]

Chronologie et corrélation des preuves

• Construction d’une timeline multi-sources pour une investigation
• Normalisation des horodatages, fuseaux horaires et gestion des dérives temporelles
• Corrélation des données disque, mémoire, registre et journaux
• Détection des séquences d’attaque et des ruptures dans une chronologie
• Priorisation des événements et formulation de conclusions vérifiables

[Jour 4 – Après-midi]

Réponse à incident à l’échelle entreprise

• Évaluation rapide d’un périmètre compromis dans un environnement d’entreprise
• Stratégies de collecte et d’analyse à grande échelle
• Coordination entre analystes, équipes systèmes, réseau et sécurité
• Confinement, éradication et validation de la remédiation
• Production d’un rapport d’investigation clair, factuel et exploitable
• Atelier pratique : prioriser les actions de réponse à incident dans un scénario de compromission multi-postes

[Jour 5 – Matin]

Préparation ciblée à l’examen GCFA

• Révision structurée des domaines évalués par la certification GIAC GCFA®
• Analyse des pièges fréquents et des critères de décision dans les cas forensic
• Organisation d’un index papier efficace pour un examen en ressources documentaires
• Stratégies de résolution pour les questions théoriques et les exercices CyberLive
• Gestion du temps, contrôle des réponses et maintien de la rigueur analytique

[Jour 5 – Après-midi]

Mise en situation de certification

• Rappel des objectifs, du format et des règles de passage de l’examen
• Résolution de cas transverses combinant disque, mémoire et artefacts Windows
• Justification des conclusions à partir de preuves techniques corrélées
• Auto-évaluation des acquis et identification des axes de révision individuels
• Plan de préparation final avant la présentation à la certification officielle
• Atelier pratique : réaliser une simulation d’investigation, puis restituer la chronologie et les conclusions