sept. 2026
Investigation numérique (DFIR)
Acquisition et analyse de preuves sur la mémoire, le disque et le réseau, jusqu'à la réouverture d'un volume LUKS2 à partir d'un seul dump mémoire.
Preuves
- 1 dumpsuffit pour reconstituer la clé maître LUKS2Source : TP Linux, recherche de clé AES en mémoire
- 4,1 Gode mémoire acquis depuis l'hyperviseur en 1,6 sSource : notes du lab
- 5écarts du support de cours relevés et corrigésSource : notes de TP
Ce que j'ai fait
- Lab sur Proxmox : VM Debian 12 et Windows 10, hôte VirtualBox imbriqué, acquisition mémoire depuis l'hyperviseur.
- Chaîne de possession et intégrité (GPG), acquisition avec LiME, Linpmem, winpmem, dd et dcfldd.
- Analyse avec Volatility 3, Sleuth Kit, Autopsy, PhotoRec et TestDisk, tcpdump et Wireshark.
- Expertise d'une affaire fictive sur deux images EWF : intégrité vérifiée, chaque conclusion étayée par au moins deux artefacts.
Limites
- L'indexation Autopsy de l'affaire n'a pas abouti : la conclusion s'appuie sur les autres outils.
Outils et référentiels
- Volatility 3
- LiME
- winpmem
- Sleuth Kit
- Autopsy
- dcfldd
- cryptsetup
- Wireshark
- GPG
Compétences
- Investigation numérique
- Détection et réponse