Après avoir terminé Cybersécurité et analyse médico-légale des réseaux cours, les participants seront capables d'appliquer une méthodologie structurée aux enquêtes médico-légales réseau et d'utiliser Wireshark pour analyser le trafic réseau et les fichiers PCAP.

Fondamentaux de la criminalistique réseau

• Comprendre les principes de l'analyse forensique réseau.
• Comprendre la terminologie et la méthodologie de l'analyse forensique réseau.
• Identifiez le rôle des captures de paquets en tant que preuves réseau.
• Comprendre la différence entre l'analyse en temps réel et l'analyse post-capture.
• Appliquer une approche structurée aux enquêtes médico-légales réseau.

Collecte du trafic réseau

• Configurer Wireshark pour les enquêtes réseau.
• Sélectionnez les interfaces de capture appropriées.
• Comprendre les filtres de capture.
• Collecter le trafic réseau pertinent.
• Travailler avec plusieurs captures de paquets.
• Identifier et préserver le trafic pertinent pour une enquête.

Analyse de paquets et de protocoles

• Analyser les communications IPv4 et IPv6.
• Analysez le trafic ARP, DHCP, DNS, TCP, UDP et ICMP.
• Analyser le protocole HTTP et d'autres protocoles de la couche application.
• Comprendre le comportement normal du protocole.
• Identifier les anomalies de protocole.
• Interpréter les informations au niveau des paquets dans un contexte médico-légal.

Filtrage et investigation avec Wireshark

• Utilisez efficacement les filtres d'affichage de Wireshark.
• Utilisez des filtres de capture.
• Filtrer le trafic par adresse IP, hôte, protocole et port.
• Identifier les conversations entre systèmes.
• Suivre les flux TCP.
• Localiser les paquets pertinents dans de grands fichiers PCAP.
• Appliquer des techniques de filtrage avancées lors des investigations.

Reconstruction de conversation réseau

• Identifier les systèmes communicants.
• Reconstituer les conversations réseau.
• Suivre les communications au niveau de l'application.
• Analyser l'établissement et la fermeture d'une connexion TCP.
• Comprendre les séquences de communication.
• Reconstituer des événements à partir de captures de paquets.
• Établissez une chronologie de l'activité réseau pertinente.

Détection d'activité réseau suspecte

• Distinguer le comportement réseau normal du comportement anormal.
• Identifier les schémas de communication suspects.
• Enquêter sur le balayage réseau et la reconnaissance.
• Identifier les connexions suspectes.
• Analyser le trafic réseau lié aux logiciels malveillants.
• Enquêter sur les communications de commande et de contrôle.
• Analyser les transferts de données et l'exfiltration potentielle de données.
• Identifier les indicateurs de compromission.
• Reconnaître un comportement de protocole anormal.

Enquête sur un incident de cybersécurité

• Enquêter sur les systèmes potentiellement compromis.
• Analyser le comportement réseau suspect.
• Identifier des preuves d'activité malveillante.
• Examiner les communications réseau avant, pendant et après un incident.
• Corréler l'activité réseau avec les résultats de l'enquête.
• Extraire les éléments de preuve pertinents des fichiers PCAP.
• Appliquer une méthodologie structurée aux enquêtes sur les incidents.

Analyse forensique réseau avancée

• Effectuer la reconstruction d'accidents de la route.
• Analyser les conversations réseau et les schémas de communication.
• Identifier le trafic pertinent dans les grandes captures.
• Reconstituer les chronologies à partir du trafic réseau.
• Analyser le comportement du réseau.
• Interpréter les preuves au niveau des paquets.
• Documenter et communiquer les conclusions médicolégales.

Résultat pratique

À la fin du cours, les participants seront capables de partir d'une capture réseau, d'identifier systématiquement le trafic pertinent, d'isoler les communications suspectes, de reconstituer l'activité réseau et d'utiliser des preuves au niveau des paquets pour étayer une enquête de cybersécurité ou médico-légale.

Ils auront développé des compétences pratiques pour utiliser Wireshark pour l'analyse forensique réseau, l'analyse de fichiers PCAP, la réponse aux incidents, les enquêtes en cybersécurité et l'analyse du trafic réseau.