Guide d'Investigation Numérique Windows
Forensique & Incident Response

ForenShield est conçu pour être simple à prendre en main : exécutable portable, pas d’installation lourde.

1. Téléchargez la dernière version (bientôt disponible).
2. Décompressez l'archive si nécessaire.
3. Lancez ForenShield.exe en tant qu'administrateur pour un accès complet aux artefacts système.
4. Accédez aux modules depuis le tableau de bord.

L’interface vise la clarté : moins de "blabla", plus d’actions concrètes.

• Tableau de bord : accès rapide aux modules et aux actions.
• Modules : regroupés par familles d’artefacts (process, registre, réseau…).
• Barre d’état : progression + logs de collecte.
• Exports : génération de rapport et sauvegarde des résultats.

Toute investigation sérieuse suit un cadre structuré. Le modèle PICERL (Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned) est la référence SOC/CERT.

1. Préparation : outils à portée, sauvegardes testées, contacts d'urgence définis. Ne pas attendre l'incident.
2. Identification : qualifier la compromission — faux positif ou réel ? Délimiter le périmètre, horodater le début de l'incident.
3. Confinement : isoler le ou les systèmes sans éteindre (préservation mémoire vive). Capturer un dump RAM en priorité.
4. Éradication : identifier la cause racine (malware, credentials volés, misconfiguration), puis supprimer et patcher.
5. Rétablissement : remettre en production prudemment, avec monitoring renforcé. Valider l'absence de persistance résiduelle.
6. Retour d'expérience : rédiger le rapport final, documenter les IoC (Indicators of Compromise), renforcer les règles de détection.

Chaîne de preuve : chaque action doit être horodatée et documentée dès le début, en particulier pour les cas judiciaires.

Windows génère des traces massives d'exécution. Voici les emplacements prioritaires lors d'une investigation forensique Windows.

• Prefetch — C:\Windows\Prefetch\*.pf : preuve d'exécution de programme avec timestamp et nombre de lancements (jusqu'à 128 entrées sur Windows 10+).
• LNK / Jump Lists — %APPDATA%\Microsoft\Windows\Recent\ : fichiers récents ouverts, avec chemin source et timestamps complets.
• Registry Run keys — HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run[Once] : emplacement classique de persistances malveillantes.
• ShimCache / AppCompatCache — HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache : historique des exécutables, même sans preuve de démarrage effectif.
• AmCache — C:\Windows\AppCompat\Programs\Amcache.hve : SHA1 des binaires exécutés — utile pour identifier des hashes malveillants sans trace antivirus.
• SRUM (System Resource Usage Monitor) — C:\Windows\System32\sru\SRUDB.dat : usage réseau et CPU par application sur les 60 derniers jours.
• Event Logs — C:\Windows\System32\winevt\Logs\ : Security.evtx, System.evtx, Application.evtx. À filtrer par Event ID prioritaires (voir section suivante).
• $MFT (Master File Table) : référence NTFS de tous les fichiers avec 4 timestamps (création, modification, accès, metadata). Extractible avec FTK Imager ou des outils dédiés.

Les rapports sont pensés pour être lisibles, exploitables, et directement utilisables dans un contexte professionnel.

• Résumé exécutif + sections détaillées par module.
• Horodatage et structuration "preuve / contexte / interprétation".
• Détections mises en avant + éléments à approfondir.
• Export HTML pour partage rapide et archivage légal.

Objectif : que le rapport puisse être utilisé tel quel dans une main courante ou une synthèse CERT/SOC.

Avant d'exécuter un fichier suspect en sandbox, le triage statique permet de qualifier rapidement un échantillon sans risque d'infection.

• Hash & réputation : calculer MD5/SHA256, soumettre sur VirusTotal, MalwareBazaar ou Hybrid Analysis. Un hash connu = classification immédiate.
• Strings : extraction des chaînes imprimables — recherchez des URLs en dur, des noms d'API suspects (VirtualAlloc, WriteProcessMemory, CreateRemoteThread), des chemins et des mutex.
• PE Headers : vérifiez le compiler timestamp, les sections avec haute entropie (code chiffré/packé), les imports manquants ou minimaux (signe de packing).
• Règles YARA : appliquer les règles communautaires (YARA-Rules GitHub, règles Elastic Security, signatures reversing.fr) pour détection signature-based.
• MITRE ATT&CK® : mapper les techniques identifiées — T1059.001 (PowerShell), T1547.001 (Registry Run Keys), T1003 (Credential Dumping), T1071 (C2 over HTTP/S).
• Sandbox dynamique : si le triage statique est insuffisant, utiliser Any.run, Cuckoo, Joe Sandbox ou Triage.abuse.ch pour l'analyse comportementale.

Analysez les emails suspects directement avec l'EML Analyzer ForenShield : extraction d'en-têtes SMTP, pièces jointes, indicateurs de phishing et lookups reputation.

Le journal de sécurité Windows (Security.evtx) est la source d’événements la plus riche. Voici les Event IDs prioritaires à surveiller en incident response.

• 4624 : Connexion réussie. Type 2 = interactif, Type 3 = réseau (SMB/RPC), Type 10 = RDP. Un flux de Type 3 depuis IPs externes = mouvement latéral potentiel.
• 4625 : Échec de connexion. Volume élevé sur un même compte = brute force ou password spraying (voir l’outil d’audit de mots de passe).
• 4648 : Connexion avec credentials explicites (runas ou pass-the-hash). Signe fréquent de déplacement latéral.
• 4688 : Nouveau processus créé. Recherchez cmd.exe ou powershell.exe -EncodedCommand, ou des processus lancés depuis svchost.exe de façon inhabituelle.
• 4698 / 4702 : Tâche planifiée créée / modifiée. Vecteur de persistance très courant — vérifiez l’action et le chemin exécutable.
• 4720 : Compte utilisateur créé. Un compte créé hors heures ouvrables ou avec un nom générique mérite investigation.
• 7045 / 4697 : Service installé. Technique de persistance classique — vérifiez le chemin binaire et la description du service.
• 1102 : Journal d’audit vidé (Security log cleared). Souvent déclenché par un attaquant pour effacer ses traces — alerte critique.
• 4656 + Sysmon Event 10 : Accès au processus lsass.exe — indicateur de tentative de credential dumping (Mimikatz, Procdump).

Scorez la criticité d’une CVE exploitée lors de l’incident avec le Calculateur CVSS ForenShield.

Le guide (et l’outil) est pensé pour plusieurs niveaux.

• SOC / CSIRT : réponse initiale, collecte, priorisation.
• Consultants : audit, investigation chez le client.
• Admins : vérifications et contrôles de sécurité.
• Étudiants : apprendre la forensique Windows par la pratique.

Les versions payantes débloqueront des capacités étendues (roadmap).

• Analyse mémoire (type Volatility), règles personnalisées.
• Automatisation (batch / tâches récurrentes).
• Intégrations API (interop avec écosystème sécurité).
• Support prioritaire.

Un souci, une idée, un bug : canal clair, réponse claire.

• FAQ / Base de connaissance : (à venir)
• Forum communauté : (à venir)
• Issues : GitHub
• Pro/Entreprise : support prioritaire dédié.