Enquête d'incidents & intrusion dans les réseaux (INTRES)

But du cours

Pour faire des prouesses dans une enquête d’incident et d’intrusion dans un réseau, l’enquêteur en criminalité technologique doit maîtriser des concepts et des compétences qui couvrent divers aspects de la sécurité des réseaux, le traitement des incidents, la détection des intrusions et l’enquête sur la cybercriminalité. À cette fin, le cours a été conçu pour apporter aux enquêteurs des crimes de haute technologie l’essentiel des connaissances et des compétences nécessaires pour évaluer une plainte d’intrusion dans un réseau, déterminer la nécessité d’enquêter sur l’incident et mener à terme une enquête sur l’incident, le cas échéant.

Dans ce cours, les participants étudieront des concepts centraux du réseautage dans Internet et les examineront de près du point de vue de l’enquêteur d’incidents. Ils apprendront à connaître les sources d’information de journalisation qu’ils pourront exploiter pour évaluer l’intrusion ou l’incident et découvrir comment appliquer des techniques afin de recueillir correctement la preuve. À partir des connaissances actuelles des participants en matière de réseaux, ils apprendront comment traiter et corréler leur preuve numérique à l’aide d’outils d’analyse de haut niveau et de mesures d’évaluation des incidents. Les participants apprendront comment utiliser leur analyse pour établir le genre et la portée d’un incident signalé, évaluer la nécessité d’enquêter et poursuivre les efforts nécessaires d’enquête pour mener l’affaire à bonne fin. Enfin, les participants sauront tout de la terminologie propre au traitement des incidents, des procédures et des concepts de sécurité ainsi que des outils d’aide à l’enquête comme le profilage et le suivi du pirate pour les situations où ils devront coordonner leurs actions avec les administrateurs de réseaux et les professionnels de la sécurité des secteurs public et privé.

Objectifs d'apprentissage

À la fin du cours, les participants pourront :

• Discuter avec des plaignants aux capacités techniques variées;
• Évaluer une plainte d’intrusion dans un réseau ou d’incident de sécurité dans un réseau;
• Saisir le trafic sur un réseau à l’aide d’un renifleur de paquet reconnu;
• Déterminer les modes d’adressage du réseau propres à un réseau, ses voies d’entrée et de sorties, et les contrôles d’accès à son trafic;
• Différencier le trafic normal de l’exploitation ou de la subversion des protocoles anormaux afin de focaliser les efforts d’enquête;
• Déterminer l’ampleur et l’impact de l’incident de sécurité sur le réseau;
• Utiliser des outils d’examen standard pour gérer les données sur le trafic réseau et filtrer les événements d’intérêt;
• Reconnaître les aspects d’un incident relevant de compétences multiples et modifier ses stratégies d’enquête en conséquence;
• Reconnaître les grandes catégories de l’exploitation ou de l’attaque;
• Appliquer, après évaluation, les techniques de détection d’intrusion les plus appropriées à une situation particulière;
• Employer les outils de détection d’intrusion qui font partie de la trousse d’outils en cas d’intrusion;
• Formuler et appliquer des stratégies d’analyse efficaces;
• Recueillir la preuve de journalisation fournie par les routeurs et les dispositifs de sécurité du réseau et trouver comment le fonctionnement de ces dispositifs peut avoir influencé la perception des événement réseau;
• Explorer les avenues officielles et officieuses de la coordination et de la mise en commun d’information avec d’autres organismes d’application de la loi et organes d’enquête aux niveaux local, national et international;
• Reconnaître les genres les plus fréquents de systèmes de détection d’intrusion et leurs capacités de produire des rapports.

Contenu du cours

• connaissances de base en TCP/IP
• protocoles d’application
• renifleur de paquet et principes de l’examen du trafic sur le réseau
• assises de la sécurité du réseau
• exploitations et attaques
• routeurs et dispositifs de sécurité du réseau
• détection d’intrusion sur le réseau et outils connexes
• analyse du journal d’introduction
• évaluation d’incident et enquête
• enquêtes à mener avec d’autres organismes compétents

Critères de sélection des participants

Les participants doivent satisfaire aux critères suivants pour être admis à ce cours :

• occuper des fonctions d’enquêteur en criminalité technologique chargé d’enquêter sur des dossiers d’intrusion dans un réseau ou de problèmes de sécurité dans un réseau;
• avoir réussi les cours suivants du CCP :
  • Examinateur en informatique judiciaire
  • Principes d'un réseau et techniques d'enquête
  • Techniques judiciaires d'un système Linux
  ou justifier de façon appropriée qu’ils ont des connaissances suffisantes dans ces domaines;
• avoir fait toutes les lectures préalables obligatoires (fournies au moment de l’inscription au cours);
• être à l’aise avec les systèmes d’exploitation fondés sur Windows et sur Linux

Évaluation du participant

Le cours consiste en des séances magistrales interactives et des exercices formateurs pratiques dans les salles de classe de l’Institut d'apprentissage en criminalité technologique. Pour obtenir les crédits rattachés à ce cours, un participant doit effectuer et participer à tous les modules du cours prévus dans le programme.

Pour obtenir son certificat, le participant doit réussir un examen écrit et un examen pratique avec une note globale d’au moins 75%.

Durée : Deux semaines (10 jours ouvrables)

Lieu : Le Collège canadien de police à Ottawa

Nombre de participants : Pour que le cours se donne, il doit y avoir au moins 12 participants, jusqu’à un maximum de 20.

Langue : Le cours est offert en anglais