La sécurité sous Linux repose avant tout sur l'identification des modifications, des auteurs potentiels de ces changements et du moment où l'activité a eu lieu. Ce cours permet aux débutants d'acquérir des compétences d'investigation portant sur les permissions du système de fichiers, les comptes, les processus, les services, les journaux de sécurité, le réseau et le tri des données via Bash. À l'issue de la formation, vous disposerez d'une méthode reproductible pour corréler les preuves système à une période d'incident précise, sans pour autant surinterpréter la portée de ces éléments de preuve.
Le cours aborde la propriété et les permissions sous Linux, les utilisateurs locaux et la politique sudo, les processus et les services systemd, les traces d'authentification issues de auth.log et journalctl, l'inspection réseau à l'aide de ss, ip addr et lsof, ainsi que les pipelines Bash permettant de normaliser et de synthétiser les activités liées aux incidents.