Labo ForenShield · Forensic Lab
Lisez la chronologie d’un poste compromis
Une vingtaine d’événements d’un poste Windows fictif, dont la plupart sont parfaitement normaux. Cliquez, comparez et marquez ceux qui ne devraient pas être là.
- ≈ 12 min
- Sans compte
- Données fictives
Déroulé
Ce que vous allez faire
Parcourir les événements
Filtrez par processus, réseau, fichiers ou événements Windows.
Inspecter les détails
Processus parent, ligne de commande, utilisateur : tout est dans la fiche.
Marquer les anomalies
Signalez uniquement ce qui vous paraît suspect : les fausses alertes comptent aussi.
Lire la correction
Chaque événement est expliqué, et l’enchaînement complet est reconstitué.
À retenir
Ce que vous allez apprendre
- Reconnaître une filiation de processus anormale
- Lire les Event ID 4624, 4688, 7045 et 1102
- Relier un processus à son activité réseau et à ses fichiers
- Éviter de conclure sur un seul événement
Sur de vraies données
Passez ensuite aux vrais outils
La simulation sert à s’exercer. Pour vos propres données, utilisez les outils prévus à cet effet.
Questions fréquentes
Avant de commencer
Ces journaux sont-ils réels ?
Non, ils ont été écrits pour l’exercice : poste, utilisateurs, adresses et empreintes sont inventés. La démonstration n’effectue aucune analyse forensique. Pour examiner un vrai poste, utilisez ForenShield Client.
Les numéros d’événements sont-ils exacts ?
Oui. Les Event ID et les événements Sysmon cités correspondent à leur signification réelle dans Windows. Le référentiel des Event ID du site permet d’aller plus loin.
Comment la note est-elle calculée ?
Vous gagnez des points pour chaque anomalie trouvée et en perdez pour chaque événement normal signalé à tort. Un bon analyste trouve les traces sans crier au loup.