HELMo
Inscription

UE61 Option : Rétro-ingénieurie

En pratique

  • Cette unité d'enseignement (UE) articule 1 activité d'apprentissage :
    • Option : Rétro-ingénieurie
  • En 2026-2027, elle s'organise au premier quadrimestre et couvre 6 crédits (ECTS).
  • L'enseignement est principalement centralisé dans le campus : Département Informatique
  • Cette UE est remédiable d'une session à l'autre
  • Modalités d'enseignement
    • Auditoire
    • Travaux pratiques dans un local équipé spécifiquement

Activité d’apprentissage

Les finalités de l'UE

Cette unité d'enseignement fait de l'étudiant un investigateur capable de conduire une investigation numérique complète, d'un mandat reçu jusqu'à un rapport opposable.


Elle prolonge l'UE « Introduction à l'analyse forensique », dont elle constitue la suite. L'unité "Introduction à la forensique" enseigne où regarder et ce que chaque trace signifie ; celle-ci fait conduire l'investigation sur des volumes réels, sous contrainte de temps, avec des sources variés, et jusqu'à une conclusion graduée que son auteur doit pouvoir défendre.

Les contenus de l'UE

Compétences générales :

  • Conduire une investigation numérique de bout en bout : cadrage du mandat, collecte, analyse, corrélation, restitution.
  • Arbitrer une stratégie de collecte sous contrainte de temps, de volatilité et de licéité, et justifier ce qui n'a pas été collecté.
  • Analyser un système compromis quel que soit son système d'exploitation, en distinguant ce qu'un artefact prouve de ce qu'il suggère.
  • Caractériser un code malveillant jusqu'à en tirer une capacité de détection réutilisable.
  • Situer un incident dans le renseignement sur la menace, et énoncer les limites de ce que l'analyse permet d'affirmer.
  • Restituer des conclusions graduées, reproductibles par un tiers, et exploitables par un mandant non technicien.

Contenus abordés :

  • Cadrer l'intervention : mandat, périmètre, ordre de volatilité, arbitrage de collecte et coût de l'exhaustivité ; licéité de la collecte dans trois situations non traitées au bloc 1.
  • Collecter : imagerie disque et acquisition mémoire sous Windows, Linux et macOS ; extraction mobile aux trois niveaux ; obtention de journaux détenus par un service en cloud.
  • Analyser l'hôte Windows : points de restauration, artefacts d'exécution, journalisation applicative, exploitation outillée du registre, et reconstitution d'une période dont les journaux ont été effacés.
  • Analyser l'hôte Linux et macOS : persistance, rootkits, binaires système modifiés, systèmes de fichiers récents, artefacts sous protection système.
  • Analyser la mémoire vive : injections de code, code résident, corrélation mémoire-disque.
  • Analyser le réseau : architecture de détection, recherche proactive, pivot sur indicateur, corrélation hôte-réseau.
  • Caractériser le code : triage statique, observation dynamique en environnement contrôlé, rétro-ingénierie sommaire (famille, capacités, gestion de clé, indicateurs), rédaction de règles de détection réutilisables.
  • Corréler et restituer : super-chronologie, référentiels de temps sur sources hétérogènes, gradation des conclusions, rapport, recommandations d'éradication et de remédiation.
  • Renseignement sur la menace :
    • indicateurs de compromission,
    • indicateurs d'attaque,
    • techniques ;
    • modèles d'analyse ;
    • priorisation de la détection ;
    • portée et limites de l'attribution.

Les acquis d'apprentissage visés par l'UE

Les acquis d'apprentissage 

  • AA1 : Conduire l'acquisition et la préservation de sources hétérogènes (disque, mémoire vive, journaux, terminal mobile, service en nuage)
    en respectant l'ordre de volatilité et la chaîne de garde, et justifier la licéité de chaque collecte ainsi que ce qui n'a pas été collecté.
  • AA2 : Analyser les artefacts d'un système compromis,
    sous Windows, Linux ou macOS, pour établir l'exécution, la persistance et l'action de l'attaquant, en distinguant ce que chaque artefact prouve de ce qu'il suggère.
  • AA3 : Reconstituer la chronologie d'un incident en corrélant des sources hétérogènes,
    en maîtrisant les référentiels de temps, et la restituer sous forme de récit daté et gradué, reproductible par un tiers, recommandations d'éradication et de remédiation comprises.
  • AA4 : Caractériser un code malveillant (famille, capacités, indicateurs)
    par triage statique, observation dynamique en environnement contrôlé et rétro-ingénierie sommaire, et en dériver une règle de détection réutilisable.
  • AA5 : Qualifier les indicateurs d'un incident,
    les rattacher à un modèle d'analyse, en tirer des priorités de détection, et énoncer ce que l'attribution permet et ne permet pas d'affirmer.

Les méthodes d'enseignement-apprentissage

  • Cours en auditoire :
    L'unité est structurée par le processus d'incident : cadrer, collecter, analyser l'hôte, analyser la mémoire, analyser le réseau, caractériser le code, corréler, restituer. Les systèmes d'exploitation sont des terrains traversés par une méthode unique, et non des modules juxtaposés. Chaque notion est introduite dans la séance qui précède immédiatement son emploi au laboratoire.
  • Cas fil rouge :
    une organisation fictive, saisie du mandat jusqu'au rapport. 

  • Travaux pratiques : 
    sur machines virtuelles : conduite de l'investigation sur des artefacts. Travail individuel.

  • Supports pédagogiques :
    Présentations, machine virtuelle, corpus d'images disque, de captures mémoire, de journaux et de traces réseau fabriqués pour le cours, et un site dédié hébergeant les énoncés et les épreuves.

  • Corpus manipulé :
    images, journaux et échantillons entièrement fabriqués. Aucun code malveillant authentique n'est manipulé, ni au laboratoire, ni à l'examen.

Théorique

Cette épreuve présente des modalités similaires pour toutes les sessions. Elle est organisée durant la session. Il s'agit d'un examen. Cette épreuve est individuelle. Concrètement, l'épreuve repose sur une formulation écrite. L'épreuve repose sur des réponses longues, réponses courtes, réponses choisies parmi des propositions. Elle se déroule à cours fermé. La correction de cette épreuve est assurée par validation mixte : automatique et par un.e enseignant.e.

Pratique

Cette épreuve présente des modalités similaires pour toutes les sessions. Elle est organisée durant la session. Il s'agit d'un examen. Cette épreuve est individuelle. Concrètement, l'épreuve repose sur une formulation écrite, une réalisation par mise en pratique. L'épreuve repose sur des réponses longues, réponses courtes, réponses choisies parmi des propositions. Elle se déroule à cours fermé. La correction de cette épreuve est assurée par validation mixte : automatique et par un.e enseignant.e.

Règles de l’UE

Comment la note globale de l’UE est-elle déterminée ?

Explication de la pondération des différentes épreuves

Partie

Type d'évaluation

Pondération

Description

Théorie

Questionnaire à choix multiple en fin de quadrimestre

50 %

Vérifie l'arbitrage d'une stratégie de collecte et sa justification, ainsi que la qualification des indicateurs et les limites de l'attribution, au travers de questions à mise en situation.

Pratique

Examen pratique sur corpus fourni

50 %

Évalue l'analyse des artefacts d'un système compromis, la reconstitution d'une chronologie graduée et la caractérisation d'un code malveillant jusqu'à une règle de détection, au travers d'une investigation menée sur machine virtuelle.

Chaque épreuve doit être validée individuellement pour valider l'unité d'enseignement.

À l'intérieur de chaque partie, les questions sont réparties par acquis d'apprentissage. Chaque acquis doit atteindre 50 % du maximum qui lui est attribué : à défaut, la partie est en échec, quelle que soit sa note globale.

Un manquement caractérisé au protocole de manipulation entraîne l'échec de l'acquis d'apprentissage n° 1. Est caractérisé le fait de soumettre un élément du corpus à un service d'analyse en ligne, d'exécuter un échantillon sans instantané préalable ou sans réseau maîtrisé, ou de sortir un élément du corpus de l'environnement fourni.

En cas d'échec en première session :

L'unité n'étant pas remédiable d'une session à l'autre, l'étudiant représente en seconde session la partie théorique et la partie pratique, y compris celle qu'il aurait validée en première session.

En cas d'échec de la seconde session :

Les notes obtenues dans le cadre de cette unité d'enseignement ne peuvent pas être reportées d'une année académique à l'autre. En cas d'échec, y compris après la seconde session, l'étudiant devra représenter l'ensemble des évaluations de l'UE, à savoir les parties théorique et pratique.

Quelles sont les informations administratives de cette UE ?