HELMo
Inscription

UE62 Option : Introduction à l'analyse forensique

En pratique

  • Cette unité d'enseignement (UE) articule 1 activité d'apprentissage :
    • Option : Introduction à l'analyse forensique
  • En 2026-2027, elle s'organise au premier quadrimestre et couvre 6 crédits (ECTS).
  • L'enseignement est principalement centralisé dans le campus : Département Informatique
  • Cette UE est remédiable d'une session à l'autre
  • Modalités d'enseignement
    • Auditoire
    • Travaux pratiques dans un local équipé spécifiquement

Activité d’apprentissage

Les finalités de l'UE

Cette Unité d’Enseignement introduit les fondements du forensic numérique et de son cadre juridico-technique.
L’objectif principal est de permettre à l’étudiant de comprendre comment les preuves numériques peuvent être collectées, analysées et présentées dans le respect des normes légales, déontologiques et procédurales.

Les contenus de l'UE

Compétences générales :

  • Situer le forensic dans le contexte global de la cybersécurité et de la réponse à incident.
  • Identifier et appliquer les bonnes pratiques de préservation et d'intégrité des preuves numériques.
  • Connaître les principes juridiques liés à la collecte de données numériques (confidentialité, vie privée, RGPD, législation belge et européenne).
  • Utiliser des outils d'analyse de base dans un cadre conforme au droit et à l'éthique professionnelle.
  • Communiquer les résultats d'une analyse dans un rapport clair, structuré et juridiquement défendable.

Contenus abordés :

  • Le métier et ses limites :
    histoire de la discipline, les trois univers d'exercice (judiciaire, entreprise, interne), la déontologie, les débouchés, et les règles du laboratoire.
  • Les fondamentaux et la méthodologie :
    les quatre piliers, le principe de Locard, le cycle d'investigation, les rôles de l'ISO/IEC 27037, l'ordre de volatilité, la chaîne de custody et les cinq façons de la rompre.
  • Le cadre légal belge et européen :
    articles 550bis, 550ter, 210bis, 504quater et 314bis du Code pénal ; articles 39bis, 88ter, 88quater et 90ter du Code d'instruction criminelle ; RGPD ; CCT n° 81 et sa procédure d'individualisation ; NIS2 ; conflit entre le CLOUD Act et le RGPD.
  • La recevabilité de la preuve et le rapport :
    article 32 du Titre préliminaire et jurisprudence Antigone, horodatage qualifié, anti-forensique, structure du rapport, gradation des conclusions, tenue à l'audience.
  • La méthode d'investigation :
    artefacts Windows, Linux et macOS ; journaux du système ; chronologie unifiée ; corrélation de sources hétérogènes ; détection de la falsification d'horodatage.
  • L'outillage :
    acquisition d'image disque et blocage en écriture, analyse de disque, analyse mémoire, analyse réseau, analyse de fichiers suspects, récupération sans système de fichiers, métadonnées, et validation des outils employés.
  • Les menaces du quotidien

Les acquis d'apprentissage visés par l'UE

À la fin de cette UE, l'étudiant sera capable de :

  1. Définir les concepts fondamentaux du forensic numérique et ses domaines d'application.
  2. Expliquer les bases légales du forensic : cadre légal, responsabilité, vie privée, RGPD, et respect de la chaîne de preuve.
  3. Identifier les principales sources de preuves numériques et comprendre leur valeur juridique.
  4. Réaliser les premières étapes d'une acquisition d'image disque conforme aux standards légaux et techniques.
  5. Utiliser des outils open source (Autopsy, FTK Imager, OSForensics) dans une démarche de traçabilité et de conformité.
  6. Produire un rapport d'analyse structuré, comprenant les considérations techniques et juridiques nécessaires à la présentation d'une preuve numérique.

Les méthodes d'enseignement-apprentissage

  • Cours magistraux :
    apports théoriques, cadre légal, études de cas et analyses documentées. 

  • Travaux pratiques :
    manipulation d'outils, scénarios de simulation, travaux individuels ou en groupe, sur machines virtuelles fournies.

  • Supports pédagogiques :
    présentations, fiches de laboratoire, six fiches de terrain imprimables, machines virtuelles.

  • Protocole de manipulation :
    instantané de la machine virtuelle avant toute exécution, réseau isolé.

Examen théorique

Cette épreuve présente des modalités similaires pour toutes les sessions. Elle est organisée durant la session. Il s'agit d'un examen. Cette épreuve est individuelle. Concrètement, l'épreuve repose sur une formulation écrite. L'épreuve repose sur des réponses longues, réponses courtes, réponses choisies parmi des propositions. Elle se déroule à cours fermé, avec du matériel spécifique . La correction de cette épreuve est assurée par vérification générée automatiquement.

Evaluation pratique

Cette épreuve présente des modalités similaires pour toutes les sessions. Elle est organisée durant la session. Il s'agit d'un examen. Cette épreuve est individuelle. Concrètement, l'épreuve repose sur une formulation écrite, une réalisation par mise en pratique. L'épreuve repose sur des réponses longues, réponses courtes, réponses choisies parmi des propositions. Elle se déroule à cours fermé. La correction de cette épreuve est assurée par validation mixte : automatique et par un.e enseignant.e.

Règles de l’UE

Comment la note globale de l’UE est-elle déterminée ?

Explication de la pondération des différentes épreuves

Partie

Type d'évaluation

Pondération

Description

Théorie

Questionnaire à choix multiple en fin de quadrimestre

50 %

Vérifie la compréhension des concepts, des procédures et du cadre légal au travers d'un questionnaire à choix multiple.

Pratique

Examen pratique de type laboratoire

50 %

Évalue la rigueur technique, la traçabilité et la conformité des travaux réalisés au travers d'une investigation menée sur un corpus fourni et restituée par un rapport.

Chaque épreuve doit être validée individuellement pour valider l'unité d'enseignement.

En cas d'échec en première session :

  • Seule la partie "théorie" est en échec : L'étudiant devra repasser en seconde session sans repasser la partie pratique via un examen pratique.
  • Seule la partie "pratique" est en échec : L'étudiant devra repasser en seconde session sans repasser la partie théorique.
  • Les deux parties sont en échec : L'étudiant devra repasser en seconde session la partie théorique et la partie pratique via un examen pratique.

En cas d'échec de la seconde session :

Les notes obtenues dans le cadre de cette unité d’enseignement ne peuvent pas être reportées d’une année académique à l’autre. En cas d’échec, y compris après la seconde session, l’étudiant devra représenter l’ensemble des évaluations de l’UE, à savoir les parties théorique et pratique.

Quelles sont les informations administratives de cette UE ?