🔴 Niveau Expert — Gouvernance & Stratégie

25 leçons pour maîtriser la gouvernance, la conformité, les tests de pénétration et l'analyse forensique.

Module 1 : Gouvernance de la Sécurité

1.1 Politiques de Sécurité

Une politique de sécurité est un document formel définissant les règles et procédures de sécurité d'une organisation :

Pourquoi c'est important : Sans politique écrite, chaque équipe applique ses propres règles et l audit échoue. La politique dit quoi faire, la procédure dit comment, le standard précise les valeurs, la baseline fixe le minimum, la directive conseille. Cette hiérarchie permet d exiger, de mesurer et de sanctionner. C est la base de la gouvernance du domaine 5.
L'analogie qui aide : Voyez la cuisine d un restaurant : la politique dit nous garantissons l hygiène. La procédure décrit se laver les mains puis désinfecter le plan. Le standard impose 20 secondes et tel produit. La baseline exige au minimum gants et thermomètre. La directive conseille de porter un masque en cas de rhume. Sans cette pyramide, chacun cuisine à sa façon.
Démonstration pas à pas : Classons un besoin. Étape 1 : la direction écrit la politique mots de passe robustes exigés. Étape 2 : la procédure décrit la création, le coffre et la réinitialisation via le support. Étape 3 : le standard fixe 14 caractères minimum, MFA et verrouillage après essais. Étape 4 : la baseline contrôle que 100 pour cent des comptes sensibles respectent ce minimum lors de l audit. Le raisonnement montre comment une intention devient mesurable.

💡 Hiérarchie documentaire

Politique (quoi) → Procédure (comment) → Standard (détails) → Baseline (minimum) → Directives (conseils)

Pièges classiques : Piège d examen : politique égale quoi et validée par la direction, procédure égale étapes du comment, standard égale valeurs obligatoires, baseline égale seuil minimal, directive égale recommandation non contraignante. AUP règle l usage acceptable, BYOD encadre les appareils personnels, classification étiquette Public à Secret. Si la question demande le document de plus haut niveau, répondez politique.
À vous de jouer : Un audit exige un minimum commun pour tous les postes avant de parler d outils. Quel document ?
Voir la réponse

Une baseline. Elle fixe le socle minimal vérifiable, par exemple disque chiffré et antivirus à jour. La politique donne le cap, le standard détaille, la procédure explique, mais seule la baseline permet de dire conforme ou non d un coup d oeil.

1.2 Gestion des Risques

Pourquoi c'est important : Dire c est risqué sans chiffrer ne permet pas de décider entre un pare-feu à 50 000 euros et une assurance. L analyse qualitative classe vite en matrice, l analyse quantitative calcule l espérance de perte annuelle avec ALE égale ARO fois SLE. Ces chiffres justifient le budget et le choix entre éviter, transférer, atténuer ou accepter.
L'analogie qui aide : Assurer une voiture illustre le risque : l analyse qualitative dit risque élevé de vol dans ce quartier. L analyse quantitative calcule valeur 20 000 euros fois 10 pour cent de vol par an égale 2 000 euros de perte annuelle moyenne. Si l alarme à 500 euros divise le risque par deux, elle est rentable. Sinon, on transfère à l assurance ou on accepte.
Démonstration pas à pas : Calculons. Étape 1 : un serveur vaut 100 000 euros et une panne ferait perdre 50 pour cent, donc SLE 50 000 euros. Étape 2 : on estime une panne tous les deux ans, donc ARO 0,5. Étape 3 : ALE égale 25 000 euros par an. Étape 4 : un cluster à 15 000 euros qui ramène l ARO à 0,1 fait tomber l ALE à 5 000 euros, économie nette de 5 000 euros par an après coût. La décision devient factuelle, pas émotionnelle.
Pièges classiques : Piège massif : SLE égale valeur fois facteur d exposition, ALE égale SLE fois ARO, ne les inversez pas. Qualitatif égale échelle et matrice, rapide mais subjectif ; quantitatif égale chiffres, puissant mais exige des données fiables. TRA structure l évaluation menaces et risques. À l examen, on vous donne valeur, exposition et fréquence, on attend ALE en deux multiplications. Lisez si la fréquence est annuelle.
À vous de jouer : Un actif à 80 000 euros avec 25 pour cent d exposition et une occurrence annuelle de 0,4. Quel ALE ?
Voir la réponse

SLE 20 000 euros, soit 80 000 fois 0,25, puis ALE 8 000 euros, soit 20 000 fois 0,4. Toute mesure coûtant moins de 8 000 euros par an et supprimant le risque serait rentable, sinon on compare le résiduel.

1.3 Cadres et Standards

Pourquoi c'est important : Face à un programme sécurité à construire, partir de zéro garantit les oublis. Le NIST CSF donne cinq fonctions, identifier, protéger, détecter, répondre, récupérer. L ISO 27001 structure le système de management, les contrôles CIS priorisent les actions, MITRE ATT et CK décrit les tactiques adverses. Choisir le bon cadre, c est parler le même langage que l auditeur.
L'analogie qui aide : Le cadre est un plan de ville : NIST CSF donne les quartiers à couvrir pour qu aucun ne soit oublié. ISO 27001 est le code de l urbanisme qui impose méthode et amélioration continue. CIS est la liste des travaux urgents, changer les serrures avant de repeindre. MITRE ATT et CK est le manuel des cambrioleurs, utile pour placer les alarmes où ils passent vraiment.

Module 2 : Compliance et Cadres Légaux

Démonstration pas à pas : Appliquons à une PME. Étape 1 : avec NIST CSF, on constate qu identifier et récupérer sont vides, pas d inventaire ni de plan. Étape 2 : avec CIS, on commence par inventaire, correctifs et sauvegardes, les contrôles à plus fort effet. Étape 3 : avec MITRE, on mappe le harponnage observé vers les techniques et on place une détection SIEM dessus. Étape 4 : avec ISO 27001, on inscrit le tout dans un cycle avec revue de direction. Chaque cadre joue son rôle.
Pièges classiques : Piège d examen : NIST CSF égale cinq fonctions dont il faut connaître l ordre et le sens, ISO 27001 et 27002 égale management et bonnes pratiques, CIS égale contrôles priorisés et concrets. SABSA égale architecture, COBIT égale gouvernance IT. MITRE n est pas un outil de blocage, c est une base de connaissances pour la détection. Si la question demande corréler des tactiques adverses, pensez MITRE.
À vous de jouer : Une direction veut un langage simple pour piloter identifier, protéger, détecter, répondre, récupérer. Quel cadre ?
Voir la réponse

Le NIST Cybersecurity Framework. Ses cinq fonctions permettent de situer chaque investissement et chaque manque. Pour la certification du management, on ajoutera ISO 27001 ; pour le plan d action technique immédiat, les contrôles CIS.

2.1 Réglementations et Standards

Pourquoi c'est important : Stocker des données de santé américaines ou des numéros de cartes sans connaître HIPAA ou PCI DSS expose à des amendes et à la perte de contrats. Le RGPD impose base légale, minimisation et notification rapide en Europe. Chaque réglementation a son périmètre et ses sanctions, l examen vérifie que vous savez les distinguer.
L'analogie qui aide : Les réglementations sont des codes de la route par pays et par cargaison : RGPD pour les données personnelles en Europe, HIPAA pour la santé aux États-Unis, PCI DSS pour les cartes partout où on les encaisse, SOX pour la fiabilité financière cotée. Rouler avec la mauvaise cargaison sans le bon permis coûte cher, même avec un camion en parfait état.
Démonstration pas à pas : Qualifions un projet. Étape 1 : une clinique en ligne traite des Européens et des Américains et encaisse par carte, donc RGPD plus HIPAA plus PCI DSS. Étape 2 : on applique minimisation et consentement pour le RGPD, chiffrement et traçabilité pour HIPAA, segmentation et journalisation pour PCI DSS. Étape 3 : on désigne un responsable, on prépare la notification de violation et on contractualise les sous-traitants. Étape 4 : on prouve par l audit. Le périmètre décide des contrôles.
Pièges classiques : Confusion fréquente : RGPD protège les personnes en Europe avec des droits forts et des délais courts, HIPAA protège les données de santé américaines, PCI DSS n est pas une loi mais un standard contractuel imposé par les réseaux de cartes. SOX vise la finance, FISMA le fédéral américain, CJIS la justice pénale. À l examen, carte bancaire égale PCI DSS, données personnelles européennes égale RGPD.
À vous de jouer : Un site européen stocke des dossiers patients américains et accepte les cartes. Quelles obligations croisées ?
Voir la réponse

Cumuler RGPD pour les résidents européens, HIPAA pour les données de santé américaines et PCI DSS pour les paiements, avec chiffrement, contrôle d accès, journalisation et notification. Il faut une analyse par périmètre et des contrats de sous-traitance adaptés à chaque régime.

2.2 Audits et Contrôles

Pourquoi c'est important : Un test de pénétration sans autorisation écrite, c est une infraction pénale, même avec de bonnes intentions. L audit interne vérifie en continu, l externe atteste en indépendance, le scan trouve des vulnérabilités connues, le pentest prouve l exploitabilité dans un périmètre signé. Les règles d engagement fixent cibles, horaires et interdits avant le premier paquet.
L'analogie qui aide : Comparez à la médecine : le scan de vulnérabilités est la prise de sang automatique qui signale tout ce qui dépasse. Le pentest est l effort supervisé sur tapis pour prouver que le coeur tient. L audit est le contrôle annuel complet avec compte-rendu. Sans consentement signé, même un bon médecin ne peut pas opérer, c est la règle d engagement.
Démonstration pas à pas : Déroulons un pentest régulier. Étape 1 : on signe périmètre, créneaux, contacts d urgence et actions interdites comme le déni de service. Étape 2 : on reconnaît et on scanne sans déborder du périmètre. Étape 3 : on exploite avec précaution, on documente chaque preuve sans exfiltrer de vraies données personnelles. Étape 4 : on restitue findings notés, preuves, risques métier et remédiations priorisées. Sans écrit, on s arrête.

⚠️ Légalité

Tout test de sécurité doit être autorisé par écrit (Rules of Engagement) avant de commencer. Le test non autorisé est un délit pénal dans la plupart des juridictions.

Module 3 : Tests de Pénétration

Pièges classiques : Piège dangereux : scan égale automatisé et large, pentest égale manuel, autorisé et prouvé par l exploitation. Interne connaît et contrôle, externe atteste en indépendance. Reconnaissance avant audit n autorise pas l attaque. À l examen, toute question avec test sans autorisation attend refus et signature des règles d engagement d abord. Le rapport doit être actionnable, pas juste une liste.
À vous de jouer : Un client demande un test intrusif dès demain sans contrat. Que répondre ?
Voir la réponse

Refuser de commencer et exiger une autorisation écrite avec règles d engagement : périmètre, horaires, méthodes interdites, contacts et gestion des données. Sans cela, le test est illégal et engage la responsabilité pénale, même si la vulnérabilité est réelle.

3.1 Méthodologies

Pourquoi c'est important : Tester sans méthode, c est oublier des pans entiers et produire un rapport inutilisable. PTES structure en sept phases de la préparation au rapport, OWASP guide les tests web, NIST SP 800-115 cadre les tests techniques fédéraux, OSSTMM propose une vision ouverte et mesurable. La méthode garantit couverture, reproductibilité et valeur juridique.
L'analogie qui aide : La méthodologie est un protocole d enquête : PTES est le code de procédure complet du dépôt de plainte au jugement. OWASP est le guide du médecin légiste pour le web. NIST 800-115 est le manuel officiel pour les laboratoires fédéraux. OSSTMM est une méthode ouverte qui mesure et compare. Sans protocole, deux experts ne trouvent pas la même chose.
Démonstration pas à pas : Choisissons. Étape 1 : pour un test complet d entreprise, on retient PTES pour couvrir interactions préalables, renseignement, modélisation, analyse, exploitation, post-exploitation et rapport. Étape 2 : pour une application web, on décline avec le guide OWASP et ses catégories. Étape 3 : pour un contexte fédéral américain, on aligne sur NIST 800-115. Étape 4 : on produit un rapport standard avec preuves et criticités. La méthode choisie figure au contrat.
Pièges classiques : Piège : PTES compte sept phases et se termine toujours par le rapport, l oublier fait perdre des points. OWASP vise le web et les API, pas le réseau pur. NIST 800-115 est un guide, pas un outil. OSSTMM insiste sur la mesure et l exhaustivité. À l examen, si l énoncé demande une démarche complète et standardisée, pensez PTES ; pour du web, OWASP.
À vous de jouer : Un prestataire propose un pentest sans phase de cadrage ni rapport formalisé. Pourquoi refuser ?
Voir la réponse

Parce que sans cadrage signé ni méthode, le périmètre déborde et le résultat n est ni reproductible ni exploitable. Il faut exiger PTES ou équivalent avec phases, preuves, criticités et recommandations, plus un rapport exécutif et technique.

3.2 Phases du Pentest

  1. Reconnaissance — OSINT, enumeration, fingerprinting (Nmap, theHarvester, Shodan)
  2. Scanning — Scan de vulnérabilités (Nessus, OpenVAS), scan de ports
  3. Exploitation — Exploitation des failles (Metasploit, searchsploit)
  4. Post-Exploitation — Pivotement, élévation de privilèges, exfiltration
  5. Reporting — Documentation des findings, recommandations, executive summary
Pourquoi c'est important : Enchaîner les phases dans le désordre, c est griller sa couverture ou casser la production. La reconnaissance collecte sans toucher, le scan cartographie, l exploitation prouve, la post-exploitation mesure l impact réel, le rapport transforme en plan d action. Chaque phase a ses outils, Nmap, Nessus, Metasploit, et ses garde-fous.
L'analogie qui aide : Le pentest est un braquage autorisé pour tester la banque : reconnaissance, on observe les horaires et les caméras depuis la rue. Scan, on vérifie quelles portes grincent. Exploitation, on ouvre une porte sous contrôle. Post-exploitation, on montre jusqu où on aurait pu aller dans le coffre sans rien voler. Rapport, on explique au directeur quoi réparer en premier.
Démonstration pas à pas : Suivons un cas web. Étape 1 : OSINT avec moteurs et Shodan, sans toucher la cible au-delà du périmètre. Étape 2 : scan Nmap des ports autorisés puis scan Nessus, en heures convenues. Étape 3 : exploitation ciblée d une injection prouvée par une requête inoffensive, capture d écran. Étape 4 : post-exploitation limitée, élévation simulée et preuve d accès, sans exfiltration réelle ni persistance. Étape 5 : rapport avec criticité, impact métier et correctifs vérifiables. On s arrête au moindre doute.
Pièges classiques : Erreur classique : exploiter avant d avoir fini la cartographie, on rate le vrai chemin et on fait du bruit. Autre piège : poursuivre en post-exploitation hors périmètre ou exfiltrer des données réelles, c est interdit. Outils cités à connaître : Nmap pour ports, Nessus ou OpenVAS pour vulnérabilités, Metasploit pour exploitation encadrée. À l examen, OSINT et fingerprinting appartiennent à la reconnaissance.
À vous de jouer : Un pentester veut exploiter dès le premier jour sans inventaire. Quel risque ?
Voir la réponse

Manquer les cibles autorisées, provoquer une indisponibilité et produire un rapport biaisé. Il faut finir reconnaissance et scan, valider les cibles, exploiter sous contrôle avec preuves minimales, puis documenter. La rigueur protège la production et la valeur légale.

3.3 Types de Tests

Pourquoi c'est important : Commander un test black box quand on veut auditer tout le code, c est payer pour rater l essentiel. Black box simule un externe sans info, white box donne tout pour une couverture maximale, gray box simule un insider réaliste, bug bounty ouvre en continu aux chercheurs. Le niveau de connaissance détermine coût, durée et findings.
L'analogie qui aide : Le test est une serrure à crocheter : black box, on vous donne l adresse seule, comme un cambrioleur. White box, on vous donne plans, codes et clés, comme l installateur qui vérifie tout. Gray box, on vous donne un badge visiteur, comme un prestataire curieux. Bug bounty, on promet une prime à qui signale une porte ouverte sans la forcer.
Démonstration pas à pas : Choisissons. Étape 1 : pour tester la détection d une attaque externe réelle, prenez black box avec délai réaliste. Étape 2 : pour auditer à fond avant une mise en production critique, prenez white box avec code et architecture. Étape 3 : pour un compromis temps et réalisme sur une application métier, prenez gray box avec un compte standard. Étape 4 : pour une couverture continue, ajoutez un bug bounty avec règles et périmètre publics. Chaque choix s écrit.
Pièges classiques : Piège d examen : black box égale zéro connaissance, plus réaliste mais plus lent ; white box égale connaissance totale, exhaustif mais moins réaliste ; gray box égale partielle, bon compromis. Bug bounty n est pas un pentest ponctuel, c est un programme continu avec récompenses et doublons à gérer. Si l énoncé donne identifiants et plans, c est white box.
À vous de jouer : Un éditeur veut un audit exhaustif de son code avant certification. Quel type de test ?
Voir la réponse

Un white box. Avec accès au code, à l architecture et aux identifiants de test, l auditeur couvre le maximum en un temps borné. Un black box raterait des failles internes et coûterait plus cher pour une moindre couverture.

3.4 Outils de Pentest

Pourquoi c'est important : Utiliser Metasploit sans autorisation ou craquer des mots de passe hors cadre, c est s exposer pénalement. Chaque outil a son rôle : Nmap cartographie, Burp teste le web, Wireshark prouve sur le fil, Hashcat évalue la robustesse, Aircrack audite le Wi-Fi. Les connaître permet de lire un rapport et de comprendre la preuve.
L'analogie qui aide : Les outils sont une caisse à outils : Nmap est le mètre qui mesure portes et fenêtres. Burp est le tournevis fin pour démonter les requêtes web. Wireshark est la loupe qui montre chaque paquet. Metasploit est la perceuse puissante, utile mais dangereuse sans mandat. Hashcat est le banc d essai qui vérifie si vos mots de passe tiennent.

Module 4 : Analyse Forensique Avancée

Démonstration pas à pas : Prouvons une faille proprement. Étape 1 : Nmap liste les ports ouverts dans le périmètre autorisé. Étape 2 : Burp rejoue une requête en injectant un payload inoffensif qui démontre l injection sans détruire. Étape 3 : Wireshark capture la preuve réseau horodatée. Étape 4 : Hashcat teste hors ligne des empreintes fournies légalement pour mesurer la politique de mots de passe. Chaque preuve est consignée et réversible.
Pièges classiques : Piège juridique : tout usage hors autorisation écrite est interdit, même Nmap. Autre piège : John the Ripper et Hashcat ne cassent pas le chiffrement, ils testent des mots de passe faibles par dictionnaire et force brute. Aircrack-ng vise le Wi-Fi, SET simule l ingénierie sociale avec consentement. À l examen, scan de ports égale Nmap, interception web égale Burp, capture égale Wireshark.
À vous de jouer : Un stagiaire scanne tout le réseau client avec Nmap sans autorisation pour aider. Est-ce acceptable ?
Voir la réponse

Non. Même un simple scan hors périmètre écrit est interdit et peut être pénalement qualifié. Il faut un mandat, un périmètre, des créneaux et une traçabilité. L aide réelle consiste à préparer la cible et à documenter, pas à scanner.

4.1 Forensique Numérique

Pourquoi c'est important : Improviser une analyse forensique détruit ce qu on voulait prouver et fait rejeter le dossier. La méthode impose préparer le kit et la chaîne, collecter avec imagerie et hachage, analyser sur copie avec Autopsy ou Volatility, puis documenter pour le juge. Chaque étape protège l admissibilité autant que la vérité technique.
L'analogie qui aide : Le forensique est une fouille archéologique : on délimite, on photographie, on prélève sans déplacer le contexte, on étiquette chaque tesson avec heure et lieu. On travaille ensuite en laboratoire sur des moulages, jamais en grattant l original. Le rapport final permet à un autre expert de refaire le même chemin.
Démonstration pas à pas : Traitons un disque. Étape 1 : on prépare bloqueur en écriture, support vierge et fiche de chaîne. Étape 2 : on image bit à bit et on calcule le hachage source et copie, identiques. Étape 3 : on analyse la copie, fichiers effacés, journaux, mémoire avec Volatility si dump disponible. Étape 4 : on rédige qui a fait quoi, avec quels outils et quels hachages, pour rejouabilité. Sans ces preuves d intégrité, l analyse ne vaut pas en justice.
Pièges classiques : Piège d examen : on n analyse jamais l original, toujours une copie hachée. Bloqueur en écriture obligatoire pour le disque. FTK, EnCase et Autopsy pour disques et artefacts, Volatility pour mémoire. Documentation et hachage à chaque transfert, sinon rupture de chaîne. Si la question propose d ouvrir le fichier suspect sur le poste, refusez.
À vous de jouer : Un expert analyse directement le SSD d origine sans bloqueur ni hachage. Quelle conséquence ?
Voir la réponse

Altération non mesurable et rupture de chaîne : impossible de prouver que les preuves n ont pas été modifiées, donc rejet probable au tribunal et contestation systématique. Il fallait imager via bloqueur, hacher, puis travailler sur la copie.

4.2 Sources de Preuves

Pourquoi c'est important : Se limiter au disque fait rater les mots de passe en mémoire, les commandes dans la base de registres ou les connexions dans les journaux réseau. Chaque source raconte un morceau : RAM pour le vivant, disque et slack pour le passé, registres pour la persistance, DNS et DHCP pour les déplacements, mobile et cloud pour le contexte. Croiser fait émerger la chronologie.
L'analogie qui aide : Les preuves sont des témoins : la RAM est un témoin pressé qui oublie tout à l extinction. Le disque est l archiviste qui garde brouillons et corbeille. Le registre Windows est le concierge qui note qui est entré et quoi. Les journaux réseau sont les caméras du parking. Le mobile et le cloud sont l agenda et les relevés qui confirment les déplacements.
Démonstration pas à pas : Reconstituons une intrusion. Étape 1 : la RAM montre un processus inconnu et une connexion sortante active avec une clé en clair. Étape 2 : le disque révèle le binaire en zone temporaire et des fichiers effacés récupérables. Étape 3 : le registre montre une clé d exécution au démarrage et un périphérique USB récent. Étape 4 : les logs DNS et proxy confirment les domaines contactés aux mêmes heures. Chaque source verrouille la précédente.
Pièges classiques : Piège classique : le slack space et les zones non allouées contiennent des restes, un simple formatage ne suffit pas. La RAM ne survit pas au reboot, capturez d abord. Les horloges doivent être synchronisées sinon la timeline est fausse. Cloud et mobile exigent une collecte légale avec préservation des métadonnées. À l examen, processus actif et clé chiffrée égale mémoire.
À vous de jouer : Un poste a redémarré avant toute capture, mais le disque est disponible. Que peut-on encore espérer ?
Voir la réponse

Beaucoup sur le passé : binaires, persistance en registre, fichiers effacés, journaux locaux et réseau. En revanche, processus actifs, connexions et secrets en clair de la RAM sont perdus. Il faut imager vite, corréler avec DNS, DHCP et proxy, et noter la perte pour le rapport.

4.3 Réponse aux Incidents Avancée

Pourquoi c'est important : Face à une vague d alertes, chercher à la main chaque hash ou domaine prend des jours. Les règles YARA signent des familles de malwares, les IOC extraits alimentent le blocage, la timeline ordonne, la mémoire et le réseau prouvent. Cette approche transforme des signaux épars en campagne comprise et contenue.
L'analogie qui aide : YARA est un portrait-robot : au lieu de chercher un nom exact, on décrit une silhouette, des chaînes et des comportements, et on retrouve tous les cousins. Les IOC sont les empreintes et plaques relevées. La timeline est le déroulé minute par minute du film. La mémoire et les captures réseau sont les rushes qui montrent le geste.
Démonstration pas à pas : Chassons une campagne. Étape 1 : depuis un échantillon, on écrit une règle YARA stricte et on la teste sur des bénins pour éviter les faux positifs. Étape 2 : on balaye le parc, on extrait IP, domaines et hashs confirmés comme IOC. Étape 3 : on bloque au DNS et au proxy, on isole les hôtes et on reconstruit la timeline. Étape 4 : on confirme par dump mémoire et pcap, puis on purge la persistance partout avant reconnexion. Sans purge globale, la réinfection repart.
Pièges classiques : Piège majeur : une YARA trop large bloque du légitime, trop étroite rate des variantes, il faut tester et versionner. Un IOC seul ne prouve pas, un faisceau avec timeline oui. Volatility lit la mémoire, pas les pcap, Wireshark lit les pcap, pas la RAM. À l examen, signature de malware réutilisable égale YARA, liste d adresses et hashs à bloquer égale IOC.
À vous de jouer : Un SOC veut bloquer vite une nouvelle vague avec une YARA écrite en dix minutes et jamais testée. Quel danger ?
Voir la réponse

Faux positifs massifs et blocage légitime, ou faux négatifs qui laissent passer des variantes. Il faut tester sur des échantillons sains et malveillants, versionner, déployer en détection puis en blocage, et compléter par IOC vérifiés et timeline.

4.4 Gestion des Preuves

Pourquoi c'est important : Une preuve brillante techniquement mais sans chaîne documentée, sans hachage et sans stockage sécurisé sera écartée au tribunal. La chaîne dit qui a eu la preuve, quand et pourquoi ; l empreinte prouve qu elle n a pas changé ; le coffre garantit l accès restreint. L admissibilité se prépare dès la première minute, pas au procès.
L'analogie qui aide : La preuve est une pièce à conviction : chaque manipulation est notée sur le scellé avec signature, comme un colis suivi. Le hachage est le plomb du scellé, s il est brisé on le voit. Le stockage est le coffre de la banque, climatisé et surveillé. Sans scellé intact ni registre, le juge refuse d ouvrir le colis.
Démonstration pas à pas : Gérons une clé USB saisie. Étape 1 : on la photographie en place, on la décrit et on l étiquette avec date, lieu et saisissant. Étape 2 : via bloqueur, on l image et on calcule le hachage, consigné au procès-verbal. Étape 3 : on place original et copie sous scellé en coffre à accès journalisé. Étape 4 : chaque accès ultérieur est tracé, et l analyse se fait sur copie. La continuité est totale et démontrable.

💡 Pertinence pour l'examen

L'examen Security+ teste la compréhension conceptuelle des processus forensiques. Vous devez connaître les étapes, les outils principaux et l'importance de la chaîne de possession — pas les techniques détaillées.

Pièges classiques : Erreur éliminatoire : travailler sur l original, stocker sans contrôle ou oublier un transfert dans le registre, c est la rupture de chaîne. Autre piège : hacher après analyse au lieu d avant, on ne prouve plus l état initial. Admissible exige licéité de la collecte, intégrité prouvée et traçabilité complète. À l examen, qui, quand, pourquoi à chaque étape égale chaîne de possession.
À vous de jouer : Un technicien copie des fichiers sur sa clé personnelle pour analyser chez lui plus vite. Quel problème ?
Voir la réponse

Rupture de chaîne, copie non hachée, support non sécurisé et fuite potentielle : preuve inutilisable et faute professionnelle. Il fallait imager avec bloqueur, hacher, sceller, stocker en coffre et analyser sur copie tracée en laboratoire.