J'ai formé 200 étudiants en forensic : ce que j'ai appris (organisation, labs, évaluation)

Quand j'ai décroché ma première mission de formation en investigation numérique pour une promo de 200 étudiants répartis en 6 groupes, j'avais enseigné le forensic à des groupes de 20 à 30 personnes. Je savais qu'il y aurait des ajustements à faire — je n'imaginais pas à quel point l'échelle changerait presque tout.

Ce retour d'expérience n'est pas un guide théorique. C'est ce que j'ai observé, raté, réparé et amélioré sur trois éditions consécutives du même module, avec des étudiants de niveau Bac+3 à Bac+5 en cybersécurité. Je l'écris pour les formateurs forensic qui vont affronter la même situation — et pour les responsables pédagogiques qui organisent ces modules sans avoir eu à les animer.

Public et attentes réelles vs syllabus initial

Le niveau déclaré et le niveau réel ne sont pas les mêmes

Le syllabus indiquait "niveau intermédiaire, bases Linux et réseau acquises". En pratique, sur 200 étudiants :

• Un tiers avait manipulé Wireshark au moins une fois.
• La moitié savait lire des logs système de base.
• Un quart avait déjà entendu le mot "forensic" sans jamais avoir ouvert Autopsy.

Aucun n'avait analysé une image disque de 50 Go dans un contexte d'incident réel.

Ce décalage n'est pas une critique des étudiants ni des formations qui les précèdent — c'est une réalité structurelle. L'investigation numérique forensic est une discipline qui s'enseigne très peu avant les masters spécialisés. La plupart des étudiants arrivent avec des représentations issues des séries TV, pas d'une pratique réelle.

La conséquence pratique : le module de 3 jours que j'avais conçu supposait un socle technique qui n'était là que pour 20 % des étudiants. Dès la première édition, j'ai dû adapter à la volée. À la deuxième édition, j'avais revu le module en profondeur.

Ce que les étudiants attendent réellement

Au-delà du syllabus, les étudiants attendent trois choses de la forensic :

1. Des outils concrets qu'ils pourront mettre sur leur CV et mentionner en entretien.
2. Un scénario réaliste qui reproduit une situation qu'ils pourraient vivre en entreprise.
3. Une réponse claire à la question "qu'est-ce qu'un analyste forensic fait concrètement dans une journée de travail".

Ces attentes sont légitimes. Le formateur qui reste dans l'abstraction ("la forensic, c'est l'art de...") perd la salle en moins d'une heure. Celui qui ouvre le terminal et dit "voilà ce qu'on fait quand un serveur a été compromis hier soir" a toute l'attention dès les premières minutes.

Choix des outils et gestion du bruit informationnel

La tentation de tout montrer

Le monde de la forensic regorge d'outils : Autopsy, FTK, Volatility, Rekall, Plaso, The Sleuth Kit, Wireshark, NetworkMiner, Velociraptor, GRR, OSQuery... La tentation de tout présenter pour paraître exhaustif est réelle. C'est une erreur pédagogique majeure.

Un étudiant qui voit 15 outils en 3 jours retient comment utiliser aucun d'eux correctement. Il ressort avec l'impression d'avoir vu beaucoup de choses, mais sans la compétence d'analyser un artefact de bout en bout avec un seul outil.

La sélection que j'ai retenue pour 200 étudiants

Après trois itérations, j'ai stabilisé une stack de 3 outils principaux, avec un rôle clair pour chacun :

Et deux outils secondaires présentés mais non approfondis :

• Plaso / log2timeline : pour la création de timelines sur des cas complexes (présenté en démo, pas en TP).
• Exiftool : pour les métadonnées de fichiers (5 minutes, contexte OSINT).

Cette sélection restreinte m'a permis de faire manipuler les étudiants pendant 70 % du temps disponible, au lieu de 30 % avec une stack plus large. Les analystes malware et les équipes SOC que j'ai interrogés pour préparer le module utilisent exactement ce socle dans leurs premiers 18 mois de carrière — c'est la validation empirique de ce choix.

Le scénario comme fil conducteur

Plutôt que de présenter chaque outil isolément, j'ai construit un scénario d'incident fictif qui court sur les 3 jours du module. Un serveur de fichiers fictif a été compromis : il y a eu exfiltration de données, puis installation d'un malware de type backdoor, et l'équipe IT a finalement éteint la machine. Les étudiants reçoivent une image disque, une capture mémoire et un fichier pcap de la période suspecte.

Jour 1 : analyse disque avec Autopsy (artefacts du système de fichiers, journaux, fichiers supprimés). Jour 2 : analyse mémoire avec Volatility 3 (processus suspects, connexions réseau actives au moment de la capture). Jour 3 : corrélation avec la capture réseau Wireshark et rédaction du rapport d'investigation.

Ce format de scénario continu a deux avantages majeurs : les étudiants gardent le sens de leur travail d'une séance à l'autre, et la dimension narrative ("qui a fait quoi, quand, comment") les engage bien au-delà d'un exercice technique isolé.

Pièges d'évaluation et ce qui a fonctionné

L'erreur classique : le rapport libre avec 200 étudiants

À la première édition, j'ai demandé à chaque étudiant de rédiger un rapport d'investigation de 4 à 6 pages sur le scénario. Résultat : 200 rapports à corriger, une variabilité de qualité extrême, et une correction qui m'a pris 3 semaines à moi seul.

Ce format est excellent pour des groupes de 20 à 25 étudiants — il est inapplicable à cette échelle sans une équipe de correcteurs formés au même barème.

Le format qui a fonctionné : questionnaire + rapport court

À partir de la deuxième édition, j'ai adopté un format en deux parties :

Partie 1 (60 %) — Questionnaire de 15 questions fermées ou semi-ouvertes :

• "Quel est le hash SHA-256 du fichier suspect dans /tmp ?"
• "À quelle heure exacte ce processus a-t-il démarré (format UTC) ?"
• "Quelles connexions réseau actives vers l'extérieur apparaissent dans la capture mémoire ?"
• "Identifiez deux artefacts du système de fichiers indiquant une activité malveillante dans les 6 heures précédant l'extinction."

Ces questions ont une réponse unique et vérifiable. La correction est rapide (20 secondes par étudiant pour chaque question) et objective. Elles testent la capacité à utiliser l'outil, pas à reformuler un cours.

Partie 2 (40 %) — Synthèse d'investigation en 300-500 mots :

• Timeline des événements.
• Scénario d'attaque probable reconstitué.
• Trois recommandations de remédiation.

Cette synthèse courte est plus rapide à corriger qu'un rapport long, et elle teste exactement ce qu'un employeur attend d'un junior en forensic : la capacité à expliquer ce qui s'est passé à quelqu'un qui n'a pas manipulé les outils.

Le barème par compétence, pas par question

J'ai structuré le barème autour de 5 compétences forensic, chacune évaluée sur plusieurs questions :

Cette structure permet à un étudiant fort en analyse disque et faible en réseau d'obtenir une note qui reflète ses compétences réelles — pas une moyenne aplatie par un barème par question.

Support humain : organiser l'encadrement à grande échelle

Le ratio encadrant / étudiants en lab

En TP forensic, le ratio idéal que j'ai observé est de 1 encadrant pour 15 à 18 étudiants maximum. Au-delà, les étudiants attendent trop longtemps quand ils sont bloqués, perdent le fil et décrochent.

Pour 200 étudiants répartis en 6 groupes de 33-34 personnes, cela signifie 2 à 3 encadrants par groupe — soit 12 à 18 personnes mobilisées en parallèle. C'est une réalité organisationnelle que les responsables pédagogiques doivent anticiper, pas découvrir le jour J.

Les encadrants que j'ai mobilisés avaient des profils variés :

• Des doctorants en sécurité informatique, bien à l'aise avec les outils.
• Des étudiants de M2 de la promotion précédente, formés au préalable sur les scénarios.
• Des chargés de TP permanents qui ont suivi une session de formation de 4 heures la veille du module.

La clé : tous les encadrants manipulent le scénario complet avant le premier groupe. Pas question de découvrir les réponses en même temps que les étudiants.

Le channel d'aide asynchrone

J'ai mis en place un channel Discord (espace serveur dédié au module) où les étudiants pouvaient poser des questions entre les séances. Les règles :

• Questions techniques uniquement (pas de partage de réponses).
• Réponse sous 2 heures les jours ouvrés par l'équipe encadrante.
• Réponse visible de tous pour éviter les doublons.

Ce channel a drastiquement réduit les messages emails individuels qui noient le formateur. Il a aussi créé une dynamique de communauté : les étudiants les plus avancés répondaient parfois eux-mêmes aux questions des autres, sous supervision.

Ce que je referais différemment la prochaine fois

Audit de niveau systématique dès le premier jour

À la troisième édition, j'ai introduit un TP d'audit de 45 minutes en tout début de module : analyse d'une image disque très simple (5 artefacts à trouver, outils fournis, aucun prérequis). Ce TP diagnostique me permet d'identifier en temps réel quels groupes ont besoin de plus d'encadrement sur les bases, et d'ajuster la profondeur des séances suivantes. J'aurais dû le faire dès la première édition.

Un module asynchrone de prérequis

Pour les prochaines éditions, je prépare un module asynchrone de 3 heures (vidéos + exercices Wireshark sur capture réseau simple) que les étudiants doivent compléter avant le module présentiel. Ce pré-requis élimine le temps perdu à expliquer des notions que tout le monde ne maîtrise pas au même niveau, et libère du temps en salle pour aller plus loin.

Impliquer les certifications GREM comme horizon

La certification GIAC GREM (GIAC Reverse Engineering Malware) n'est pas accessible en sortie d'un module de 3 jours — c'est un niveau expert. Mais la mentionner comme horizon de progression a un effet sur la motivation des meilleurs étudiants : ils comprennent qu'il y a une suite, que les outils qu'ils apprennent sont des outils professionnels, pas des outils pédagogiques sans valeur après la formation.

La réponse à incident comme débouché naturel

Ce que j'aurais mieux fait dès le départ : connecter explicitement le module forensic à son contexte naturel, la réponse à incident. Un forensic analyst isolé ne sert à rien — il travaille toujours dans le cadre d'un process de gestion d'incident. Présenter le module comme "voilà ce que vous faites lors d'un incident, à l'étape d'investigation" donne un sens immédiat à chaque TP.

Ce qu'il faut retenir

Former 200 étudiants en forensic m'a appris autant sur la pédagogie que sur la discipline elle-même. Les points clés :

• Audiez le niveau réel avant de démarrer, pas après. Un TP diagnostic de 45 minutes vous évite de délivrer le mauvais cours pendant 3 jours.
• Choisissez 3 outils, maîtrisez-les : Autopsy, Volatility, Wireshark. Tout le reste peut attendre.
• Le scénario continu est votre meilleur outil pédagogique : il donne du sens à chaque manipulation et maintient l'attention.
• L'évaluation à grande échelle passe par des questionnaires fermés + une synthèse courte. Les rapports longs sont formateurs mais impossibles à corriger équitablement au-delà de 30 étudiants.
• Le ratio encadrant / étudiants est critique : prévoyez 1 encadrant pour 15 à 18 étudiants en TP lab.
• Les modules asynchrones de prérequis sont un investissement qui rend le présentiel 3 fois plus efficace.

Vous cherchez un intervenant forensic capable d'animer ce type de module à grande échelle, avec la rigueur technique et l'expérience pédagogique que cela exige ? Cyber Teachers vous met en relation avec des experts terrain habitués à former des groupes de toutes tailles.