Enseigner le forensic numérique à l'université

Le forensic numérique, une discipline qui s'enseigne sur le terrain

Le cours forensic numérique université est un module de plus en plus demandé par les établissements d'enseignement supérieur. L'investigation numérique, ou forensic, est au cœur de la réponse à incident : identifier ce qui s'est passé, comment, quand, et par qui. C'est une discipline qui exige à la fois de la rigueur méthodologique, des compétences techniques pointues et une compréhension du cadre légal.

Pourtant, enseigner le forensic à l'université pose des défis spécifiques. La discipline évolue rapidement, les outils changent, les techniques d'attaque se sophistiquent. Un cours qui n'intègre pas de composante pratique significative rate son objectif. Les étudiants qui sortent d'un module de forensic doivent être capables de mener une investigation structurée, pas uniquement de réciter les étapes d'une méthodologie.

Positionner le cours dans le cursus

Les prérequis indispensables

Un cours de forensic numérique ne peut pas être proposé en début de parcours. Les étudiants doivent maîtriser un socle de compétences avant d'aborder l'investigation :

• Systèmes d'exploitation : compréhension approfondie de Linux et Windows (systèmes de fichiers, processus, registre Windows, journaux système). Un étudiant qui ne sait pas naviguer dans les logs d'un système n'est pas prêt pour le forensic.
• Réseaux : protocoles, capture et analyse de trafic, compréhension des flux. L'analyse réseau est une composante importante du forensic.
• Sécurité informatique : notions de base sur les attaques, les malwares, les mécanismes de compromission. Sans cette base, l'étudiant ne comprend pas ce qu'il cherche.

Le positionnement idéal se situe en Master 1 ou Master 2, après que les étudiants ont suivi des modules de sécurité réseau, de sécurité Active Directory et idéalement un premier module de pentest. Le forensic est le miroir du pentest : là où le pentesteur attaque, l'analyste forensic reconstitue.

Articuler le cours avec les autres modules

Le forensic s'inscrit naturellement dans un parcours cybersécurité plus large :

• En amont : les modules d'analyse SOC et de sécurité réseau fournissent les bases nécessaires.
• En parallèle : un module de réponse à incident complète la perspective. Le forensic est une composante de la réponse à incident, pas une discipline isolée.
• En aval : les étudiants qui se spécialisent peuvent poursuivre vers des certifications comme le GCFA (GIAC Certified Forensic Analyst) ou le CHFI (Computer Hacking Forensic Investigator).

Structurer le programme

Module 1 : fondamentaux et méthodologie (2 semaines)

Les premières séances posent le cadre théorique :

La méthodologie d'investigation : le processus forensic suit des étapes strictes que les étudiants doivent intégrer dès le départ :

• Identification et préservation des preuves
• Acquisition (création d'images forensic)
• Analyse
• Documentation et rapport

Le cadre légal : le forensic numérique a des implications juridiques directes. Les étudiants doivent comprendre les notions de preuve numérique, de chaîne de custodie, de recevabilité devant un tribunal. Un cours qui ignore la dimension légale forme des techniciens, pas des investigateurs.

Les principes fondamentaux : intégrité des preuves, reproductibilité des analyses, documentation exhaustive. Chaque action doit être tracée et justifiable.

Module 2 : forensic disque et système de fichiers (3 semaines)

C'est le cœur du cours. Les étudiants apprennent à :

• Créer des images forensic : utilisation de dd, FTK Imager, ou Guymager. Calcul et vérification des empreintes hash (MD5, SHA-256) pour garantir l'intégrité.
• Analyser des systèmes de fichiers : NTFS, ext4, FAT32. Récupération de fichiers supprimés, analyse des métadonnées, timeline des modifications.
• Explorer le registre Windows : les ruches du registre contiennent des informations précieuses : programmes exécutés, périphériques USB connectés, historique de navigation, comptes utilisateurs.
• Analyser les artefacts système : prefetch, event logs, scheduled tasks, services. Chaque artefact raconte une partie de l'histoire.

Les labs pratiques utilisent des images disque préparées contenant des traces d'activité suspecte. Les étudiants doivent reconstituer la chronologie des événements et produire un rapport structuré.

Module 3 : forensic mémoire (2 semaines)

L'analyse de la mémoire vive est devenue incontournable. Les malwares modernes opèrent souvent exclusivement en mémoire, sans laisser de traces sur le disque.

Les étudiants travaillent avec Volatility (ou ses successeurs) pour :

• Lister les processus et identifier les anomalies
• Extraire des connexions réseau actives
• Détecter des injections de code ou des processus cachés
• Récupérer des mots de passe ou des clés de chiffrement en mémoire

L'exercice type : fournir un dump mémoire d'une machine compromise et demander aux étudiants d'identifier le malware, sa méthode de persistance et les données exfiltrées.

Module 4 : forensic réseau (2 semaines)

L'analyse du trafic réseau complète le tableau :

• Capture et analyse de paquets : Wireshark, tcpdump, Zeek (anciennement Bro). Les étudiants apprennent à filtrer, isoler et interpréter les flux suspects.
• Reconstruction de sessions : extraire des fichiers transférés, reconstruire des échanges HTTP, identifier des communications avec des serveurs de commande et contrôle (C2).
• Analyse de logs réseau : corrélation avec les logs systèmes pour construire une timeline complète de l'incident.

Module 5 : investigation sur cas complet (2-3 semaines)

Le module se conclut par un exercice d'envergure : une investigation complète sur un scénario réaliste. Les étudiants reçoivent un ensemble de preuves (image disque, dump mémoire, capture réseau, logs) et doivent :

• Reconstituer le scénario d'attaque de bout en bout
• Identifier le vecteur d'entrée initial
• Tracer les mouvements latéraux de l'attaquant
• Documenter les données compromises
• Rédiger un rapport d'investigation professionnel

Ce projet final est le meilleur indicateur de la compétence acquise. Il mobilise l'ensemble des techniques vues pendant le semestre et met les étudiants en situation quasi-professionnelle.

Les outils pédagogiques

Construire un lab forensic

L'environnement technique d'un cours de forensic doit inclure :

• Des stations d'analyse : machines avec suffisamment de RAM pour l'analyse mémoire (16 Go minimum), espace disque pour les images forensic.
• Des outils open source : Autopsy, Volatility, Wireshark, The Sleuth Kit, KAPE. L'avantage des outils open source est double : pas de coût de licence et transparence sur les mécanismes internes.
• Une bibliothèque de cas : images disque préparées avec des scénarios variés (compromission par phishing, mouvement latéral, exfiltration de données, ransomware).

Tableau des outils par module

Ce tableau sert de référence pour les étudiants et permet à l'enseignant de justifier les choix d'outils : open source, documentés, maintenus, et utilisés dans les environnements professionnels.

Les ressources complémentaires

Les enseignants peuvent s'appuyer sur :

• Les challenges forensic des CTF (DFRWS, SANS NetWars) comme exercices supplémentaires
• Les rapports d'incident publics (CERT-FR, ANSSI) comme études de cas anonymisées
• La bibliothèque d'images du NIST CFReDS (Computer Forensic Reference Data Sets), librement accessibles et accompagnées de solutions de référence
• Les projets collaboratifs type Hack The Box ou CyberDefenders pour l'entraînement en autonomie
• Les writeups de challenges forensic publiés par la communauté CTF, qui explicitent la méthodologie d'investigation étape par étape

Évaluation et notation

Critères d'évaluation pour les TP

L'évaluation d'un TP forensic ne se limite pas à la réponse finale. La méthodologie et la documentation comptent autant que le résultat. Une grille d'évaluation efficace pour les labs pratiques :

Cette grille explicite dès le début du module ce que l'on attend des étudiants. Elle les habitue à raisonner comme des investigateurs professionnels : la procédure et la traçabilité ne sont pas des formalités, elles conditionnent la recevabilité des preuves.

Prévenir le plagiat dans les labs forensic

Le forensic pose des défis spécifiques en termes de plagiat : deux étudiants qui analysent la même image disque peuvent légitimement obtenir des résultats très proches. Quelques pratiques qui permettent de distinguer les travaux copiés des travaux authentiques :

• Soutenance orale courte (10 à 15 minutes) : l'étudiant explique ses choix d'outils et commente ses propres résultats. Impossible à préparer sans avoir réellement réalisé l'investigation.
• Questions contextuelles : demander à l'étudiant d'interpréter un artefact qu'il n'a pas mentionné dans son rapport — s'il comprend, c'est qu'il a réellement travaillé.
• Variation des images disque : préparer 2 ou 3 versions de l'image avec des scénarios légèrement différents (une clé USB en plus, un compte supplémentaire, une date modifiée). Les sous-groupes travaillent sur des versions distinctes.

Le projet final : évaluer une investigation complète

Le projet final — investigation sur cas complet — est la pièce maîtresse de l'évaluation. Il mobilise toutes les compétences acquises et simule les conditions réelles d'une mission de réponse à incident.

La restitution prend la forme d'un rapport d'investigation structuré (introduction, périmètre, chronologie des faits, analyse technique, conclusions, recommandations) et d'une soutenance de 20 à 30 minutes devant un jury incluant idéalement un professionnel extérieur.

Ce jury mixte (enseignant + professionnel) est un signal fort envoyé aux étudiants : leurs compétences sont évaluées par des personnes qui les emploieront.

Le profil de l'enseignant

Un praticien de l'investigation

Le forensic numérique est une discipline qui s'enseigne mal par procuration. L'intervenant idéal est un professionnel qui pratique l'investigation au quotidien : analyste SOC senior, consultant en réponse à incident, expert judiciaire en informatique.

Sa valeur ajoutée réside dans sa capacité à raconter de vrais cas (anonymisés), à montrer les pièges courants de l'investigation, à expliquer pourquoi une procédure existe et ce qui se passe quand on ne la respecte pas.

Les compétences clés à vérifier

Avant de recruter un intervenant pour un cours de forensic, il est utile de vérifier :

• L'expérience pratique : a-t-il conduit des investigations sur des incidents réels, pas seulement en environnement de lab ?
• La maîtrise des outils actuels : Volatility 3, Autopsy 4.x, les dernières versions de KAPE et Plaso. Le forensic évolue vite.
• La connaissance du cadre légal : peut-il expliquer les conditions de recevabilité d'une preuve numérique devant un tribunal français ?
• La pédagogie : une expertise technique ne suffit pas. L'intervenant doit être capable de décomposer sa pratique en étapes enseignables.

Les certifications qui attestent d'une compétence reconnue : GCFE (GIAC Certified Forensic Examiner), GCFA (GIAC Certified Forensic Analyst), CHFI (Computer Hacking Forensic Investigator), ou une expertise judiciaire officielle en cybercriminalité.

Les établissements qui peinent à recruter des enseignants-chercheurs spécialisés en forensic peuvent faire appel à des intervenants professionnels pour les modules pratiques, en complément d'un enseignant permanent qui assure la continuité pédagogique. Ce modèle mixte est souvent le plus efficace : la rigueur académique de l'enseignant permanent, combinée à l'expérience terrain de l'intervenant externe.

Débouchés et certifications pour les diplômés

Les métiers ciblés

Un étudiant qui a suivi un bon module de forensic numérique universitaire est positionné pour des métiers spécialisés et bien rémunérés :

• Analyste en réponse à incident (CERT, SOC N3, cabinet de conseil)
• Expert forensic en cybercriminalité (Police nationale, Gendarmerie, laboratoires privés)
• Consultant en investigation numérique (cabinets spécialisés, ESN de sécurité)
• Analyste SOC niveau 3 avec spécialité investigation

Les certifications accessibles après le cours

Pour les étudiants qui souhaitent valoriser leurs compétences forensic sur le marché, plusieurs certifications sont accessibles après un bon module universitaire :

• BTL1 (Blue Team Level 1) : certification entry-level qui couvre le forensic, la réponse à incident et l'analyse de logs. Bien adapté aux profils Master 1.
• GCFE (GIAC Certified Forensic Examiner) : certification reconnue par les tribunaux américains et les grandes entreprises, portée par SANS Institute.
• CHFI (EC-Council) : Computer Hacking Forensic Investigator. Plus orientée méthodologie que technique pure.

Mentionner ces certifications en début de cours donne aux étudiants une perspective professionnelle concrète et augmente leur motivation à acquérir les compétences théoriques.

Ce qu'il faut retenir

• Le forensic numérique est une discipline exigeante qui nécessite des prérequis solides : systèmes d'exploitation, réseaux, bases de sécurité. Le positionner en Master 1 ou Master 2 est indispensable.
• La structure en 5 modules progressifs (méthodologie, forensic disque, forensic mémoire, forensic réseau, investigation complète) est la plus efficace pédagogiquement : chaque module s'appuie sur le précédent.
• Les outils open source (Autopsy, Volatility, Wireshark, plaso) sont à privilégier pour leur gratuité, leur documentation et leur alignement avec les pratiques professionnelles.
• L'évaluation doit mesurer la rigueur méthodologique autant que les résultats techniques : la chaîne de custody, la documentation et la qualité du rapport comptent autant que les artefacts identifiés.
• L'intervenant idéal est un praticien actif de l'investigation : son expérience terrain sur des incidents réels est ce qui transforme un cours de forensic en formation professionnalisante.

Vous cherchez un intervenant spécialisé en forensic pour votre université ?
Décrivez votre besoin sur Cyber Teachers et trouvez un expert qui pratique l'investigation au quotidien et sait la transmettre à des étudiants.