École Privée d’Ingénierie du Niger — L’école du nouveau monde

✉ elearning@epiniger.edu.ne    🌐 epiniger.edu.ne

EPI e-Learning

L'école du nouveau monde · Plateforme e-Learning

Unité d’enseignement : Master MCS · S3 · UE3 — Forensics et analyse des incidents

  • Gestion des incidents de sécurité

    Aucune organisation n’est à l’abri d’un incident de sécurité : hameçonnage, compromission de compte, rançongiciel, fuite de données, déni de service. Ce qui distingue une organisation résiliente, c’est sa capacité à détecter tôt, à répondre de façon coordonnée et à apprendre de chaque incident. Ce cours, complémentaire du cours de forensics numérique, forme à l’organisation d’un CSIRT/SOC, au tri et à la classification des alertes, aux stratégies de confinement, d’éradication et de récupération, à la communication de crise et au retour d’expérience, selon l’ISO/IEC 27035 et le NIST SP 800-61. Les cas sont tirés d’organisations nigériennes (banques, mobile money, télécoms, hôpitaux, administrations) et les TP se déroulent sur les machines virtuelles du laboratoire de l’étudiant.

    Objectifs d’apprentissage

    • Distinguer événement, alerte, incident et crise, et organiser une capacité de réponse (rôles, RACI, politique, playbooks).
    • Détecter, trier, classer et prioriser les incidents ; mesurer la détection (précision, rappel, MTTD).
    • Conduire analyse, confinement, éradication et récupération en préservant les preuves.
    • Communiquer et coordonner avec les parties internes et externes (CERT, régulateurs, autorités judiciaires) en appliquant le TLP.
    • Documenter un incident, en calculer le coût et conduire un retour d’expérience.

    Prérequis

    Principes de sécurité informatique, gestion des risques, administration Linux et Windows, notions de réseaux ; suivre en parallèle le cours de techniques de forensics numérique.

    Plan du cours

    1. Leçon 1 — Fondamentaux et organisation de la gestion des incidents
    2. Leçon 2 — Détection, identification et classification des incidents
    3. Leçon 3 — Processus de réponse : analyse, confinement, éradication et récupération
    4. Leçon 4 — Communication, coordination, documentation et retour d’expérience

    Modalités d’évaluation

    Volume horaire : 20 h de CM, 15 h de TD, 15 h de TP, 50 h de TPE ; 5 crédits. Évaluation : contrôle continu (40 % : quiz, comptes rendus des TP guidés — IDS Suricata, traitement d’un incident SSH simulé, exercice sur table) et examen terminal (60 %) sous forme d’étude de cas intégrée.

    Bibliographie

    • West-Brown, M. J., Stikvoort, D., Kossakowski, K.-P., Killcrece, G., Ruefle, R., Zajicek, M., Handbook for Computer Security Incident Response Teams (CSIRTs), CERT Coordination Center, Software Engineering Institute.
    • Luttgens, J. T., Pepe, M., Mandia, K., Incident Response & Computer Forensics, McGraw-Hill Education.
    • NIST SP 800-61, Computer Security Incident Handling Guide (Rev. 2) et Incident Response Recommendations and Considerations for Cybersecurity Risk Management (Rev. 3).
    • ISO/IEC 27035-1 et 27035-2, Gestion des incidents de sécurité de l’information.
    • FIRST, Traffic Light Protocol (TLP) 2.0 ; ENISA, Reference Incident Classification Taxonomy.

  • Techniques de forensics numérique

    L’investigation numérique (forensics) consiste à identifier, collecter, préserver et analyser des traces numériques de façon rigoureuse et reproductible, afin qu’elles puissent servir de preuve devant la justice ou fonder les décisions d’une organisation après un incident. Ce cours forme aux méthodes et aux outils de l’expert : acquisition vérifiée par empreintes, chaîne de possession, analyse des systèmes de fichiers et des artefacts, exploitation des journaux et de la mémoire, construction de chronologies et rédaction du rapport. Il s’inscrit dans le cadre juridique nigérien (loi sur la cybercriminalité, Code de procédure pénale, protection des données personnelles, présentés à titre indicatif) et dans les normes ISO/IEC 27037 et suivantes. Tous les travaux pratiques se déroulent sur les machines virtuelles et supports de test du laboratoire de l’étudiant.

    Objectifs d’apprentissage

    • Appliquer les principes d’intégrité, de traçabilité et de reproductibilité et le processus ISO/IEC 27037.
    • Réaliser une acquisition vérifiée (bloqueur d’écriture, SHA-256) et tenir une chaîne de possession.
    • Utiliser et valider les outils d’analyse (EnCase, FTK, Autopsy/The Sleuth Kit) sur des systèmes de fichiers NTFS, FAT et ext4.
    • Interpréter artefacts Windows, journaux d’événements et données de mémoire, et construire une chronologie multi-sources.
    • Rédiger un rapport d’expertise factuel et recevable.

    Prérequis

    Administration des systèmes Windows et Linux, notions de systèmes de fichiers, principes de sécurité et de cryptographie (fonctions de hachage), bases du droit de la cybercriminalité (S1).

    Plan du cours

    1. Leçon 1 — Fondements de l’investigation numérique et cadre juridique
    2. Leçon 2 — Collecte, acquisition et préservation des preuves numériques
    3. Leçon 3 — Outils d’analyse et examen des disques et des fichiers
    4. Leçon 4 — Journaux, mémoire, chronologie et rapport d’investigation

    Modalités d’évaluation

    Volume horaire : 20 h de CM, 15 h de TD, 15 h de TP, 50 h de TPE ; 5 crédits. Évaluation : contrôle continu (40 % : quiz, exercices de TD, comptes rendus des trois TP guidés — acquisition, analyse Autopsy, journaux) et examen terminal (60 %) comprenant une étude de cas avec rédaction d’un extrait de rapport d’expertise.

    Bibliographie

    • Casey, E., Digital Evidence and Computer Crime: Forensic Science, Computers, and the Internet, Academic Press (Elsevier).
    • Carrier, B., File System Forensic Analysis, Addison-Wesley.
    • Sammons, J., The Basics of Digital Forensics, Syngress.
    • ISO/IEC 27037:2012, Lignes directrices pour l’identification, la collecte, l’acquisition et la préservation de preuves numériques ; ISO/IEC 27042 (analyse et interprétation).
    • NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response ; IETF RFC 3227, Guidelines for Evidence Collection and Archiving.