Cloud Forensics – Investigation numérique et réponse à incident dans le cloud

Formation créée le 24/07/2025.
Version du programme : 1

Type de formation

Formation présentielle

Durée de formation

35 heures (5 jours)

Cloud Forensics – Investigation numérique et réponse à incident dans le cloud


Objectif de formation : Acquérir les compétences nécessaires pour mener des investigations forensiques dans des environnements cloud (AWS, Azure, GCP), en identifiant les sources de preuves spécifiques au cloud, en utilisant les outils natifs pour détecter et contenir les attaques, et en structurant une réponse à incident efficace et conforme aux enjeux organisationnels.

Objectifs de la formation

  • Comprendre les spécificités de la forensic dans les environnements cloud
  • Identifier, extraire et corréler les traces d’activité sur AWS, Azure et GCP
  • Détecter les comportements malveillants et les techniques d’attaque spécifiques au cloud
  • Utiliser les outils natifs pour l’investigation et la réponse rapide
  • Réduire la surface d’attaque et le temps de résidence des attaquants
  • Préparer leur organisation à faire face efficacement à un incident cloud

Profil des bénéficiaires

Pour qui
  • Analystes forensiques et spécialistes IR en environnement cloud ou hybride
  • Ingénieurs sécurité, consultants cybersécurité, Blue Team
  • Administrateurs cloud ou responsables SSI cloud
Prérequis
  • Maîtrise des fondamentaux du cloud (AWS, Azure ou GCP)
  • Connaissances des journaux système et d’une démarche de réponse à incident
  • Notions de forensic ou d’analyse de logs

Contenu de la formation

Introduction à la forensic dans le cloud (3 heures)
  • Spécificités du cloud vs on-prem : responsabilité partagée, éphémérité, volatilité
  • Enjeux juridiques et techniques : journalisation, stockage, confidentialité
  • Cartographie des principales plateformes : AWS, Azure, GCP
  • Vue d’ensemble des types d’incidents cloud (exfiltration, compromission IAM, détournement de service)
  • Travaux pratiques : lecture critique d’un scénario d’incident cloud
  • Travaux pratiques : cartographie des sources de preuves dans AWS et Azure
  • Travaux pratiques : Quiz interactif sur les différences de forensic entre on-prem et cloud
Identifier et collecter les sources de preuves cloud (5 heures)
  • Journaux d’activité natifs : CloudTrail, CloudWatch, Azure Activity Logs, GCP Logs
  • Objets de stockage, snapshots, journaux IAM et logs d'accès
  • Techniques de collecte sans compromettre la chaîne de conservation
  • Limitations, coûts, durées de rétention, centralisation des logs
  • Travaux pratiques : extraction de logs depuis AWS CloudTrail et Azure Monitor
  • Travaux pratiques : création d’un pipeline de collecte d’événements centralisés
  • Travaux pratiques : analyse d’un bucket S3 ou container Blob pour détecter une activité suspecte
Détection des comportements malveillants dans le cloud (6 heures)
  • Signes précurseurs d’attaque cloud : accès non autorisé, changement de rôle, escalade IAM
  • Techniques d’attaque spécifiques : token replay, backdoor via Lambda, abuse des API
  • Beaconing, exfiltration et détournement de ressources cloud (cryptojacking, proxying)
  • Travaux pratiques : analyse de logs IAM pour détecter une élévation de privilèges
  • Travaux pratiques : compromission d’un compte root sur AWS avec exfiltration
  • Travaux pratiques : reconstitution d’un scénario d’abus d’une fonction serverless (ex : AWS Lambda malicieuse)
Utilisation des outils natifs pour investigation et réponse (Cloud-native DFIR) (5 heures)
  • Outils natifs : AWS Security Hub, GuardDuty, Azure Defender, GCP Security Command Center
  • Déclenchement d’alertes, investigation, suppression ou isolation de ressources
  • Outils complémentaires open source : AWS IR Playbooks, CloudQuery, Azure Sentinel
  • Travaux pratiques : détection d’alertes GuardDuty et tri des faux positifs
  • Travaux pratiques : utilisation de Microsoft Sentinel pour corréler plusieurs sources
  • Travaux pratiques : déclenchement d’une réponse automatisée via script ou playbook IR cloud
Reconstitution d’un incident cloud et analyse chronologique (5 heures)
  • Création d’une chronologie des événements à partir des logs cloud
  • Corrélation multi-sources : IAM, réseau, stockage, compute
  • Rétablissement post-incident : évaluation des impacts, suppression des persistances
  • Rédaction d’un rapport d’incident conforme (technique + décisionnel)
  • Travaux pratiques : timeline d’un incident dans AWS (compromission → mouvement latéral → exfiltration)
  • Travaux pratiques : exploitation des logs GCP/Azure pour reconstituer une attaque interne
  • Travaux pratiques : analyse des journaux de sécurité pour détecter les persistances post-compromission
Préparation organisationnelle à la réponse à incident cloud (4 heures)
  • Gouvernance et chaîne de décision en cas d’incident cloud
  • Cartographie des responsabilités entre fournisseur, client, prestataires
  • Processus IR dans le cloud : outils, équipes, rôles, escalades
  • Plans de communication, protection juridique, documentation
  • Travaux pratiques : simulation d’un incident et briefing à destination d’un RSSI fictif
  • Travaux pratiques : évaluation d’un plan de réponse cloud existant (fourniture de modèles)
  • Travaux pratiques : Construction d’un playbook “Incident cloud – Compte compromis”
Réduction du dwell time et mitigation post-incident (4 heures)
  • Diminution du temps de résidence de l’attaquant : surveillance continue, alerting en temps réel
  • Mitigation automatisée : isolation, blocage, rotation de secrets
  • Bonnes pratiques d’hygiène cloud (MFA, droits minimaux, tagging, journaux actifs)
  • Travaux pratiques : création de règles d’alertes sur comportements anormaux IAM
  • Travaux pratiques : Mise en œuvre d’une isolation automatique de machine compromise (via playbook)
  • Travaux pratiques : audit flash d’une organisation cloud fictive et plan de mitigation
Cas complet de forensic cloud multi-plateforme (fil rouge) (3 heures)
  • Réaliser une investigation complète dans un environnement multi-cloud simulé (AWS + Azure)
  • Analyse d’un incident incluant accès illicite, élévation de privilèges, exfiltration
  • Rapport final et recommandations
  • Travaux pratiques : Analyse croisée des journaux et ressources cloud
  • Travaux pratiques : Identification des indicateurs d’attaque
  • Travaux pratiques : Rédaction d’un rapport synthétique avec timeline + preuves + pistes de remédiation

Équipe pédagogique

Professionnel expert technique et pédagogique.