Devenir analyste forensique : compétences et formation

L'analyste forensique reconstitue ce qui s'est passé sur un système après une attaque, une fraude ou une fuite de données. Le métier attire beaucoup, souvent par l'image de l'enquêteur, mais il reste flou pour ceux qui veulent y entrer : quelle formation, quelles compétences, quel premier poste ? Ce guide vous donne une vision réaliste du métier et un chemin concret pour y arriver.

Ce que fait réellement un analyste forensique

L'analyse forensique (ou investigation numérique) consiste à collecter, préserver et interpréter des traces techniques pour établir des faits. Le plus souvent, l'analyste travaille au sein d'une équipe de réponse à incident : on parle alors de DFIR (Digital Forensics and Incident Response).

Son quotidien alterne entre plusieurs activités :

• Collecter les éléments de preuve : copie de disques, capture de la mémoire vive, extraction de journaux, export d'artefacts cloud, sans altérer les données d'origine.
• Reconstituer la chronologie : comment l'attaquant est entré, ce qu'il a exécuté, comment il s'est déplacé, ce qu'il a pu emporter.
• Trier les fichiers suspects : identifier un outil malveillant, en extraire des indicateurs de compromission et les transmettre aux équipes de détection.
• Rédiger : rapports techniques détaillés et synthèses pour une direction, un assureur ou un avocat.
• Améliorer l'outillage : scripts de collecte, procédures, playbooks, exercices de crise.

La rédaction surprend souvent les débutants par son importance. Une investigation brillante qui n'est pas expliquée clairement n'aide personne à décider.

Les contextes d'exercice

Le même intitulé recouvre des réalités différentes, et il vaut mieux savoir lequel vous attire.

Les recruteurs utilisent ces mêmes distinctions. Notre article destiné aux entreprises sur la fiche de poste d'analyste forensique montre comment elles cadrent ces postes, ce qui vous aide à lire les offres.

Les compétences à construire

Les offres citent beaucoup d'outils. Ce que les équipes évaluent vraiment, c'est une démarche d'enquête solide reposant sur une bonne compréhension des systèmes.

Les fondamentaux systèmes

C'est la base de tout. Vous ne pouvez pas interpréter une trace si vous ne savez pas ce qui la produit.

• Windows : registre, journaux d'événements, systèmes de fichiers (NTFS), artefacts d'exécution comme Prefetch ou Amcache, mécanismes de persistance.
• Active Directory : authentification, comptes à privilèges, journaux des contrôleurs de domaine. La plupart des intrusions en entreprise passent par lui.
• Linux : journaux, historique des commandes, tâches planifiées, services.
• Réseau : protocoles courants, lecture d'une capture, journaux de pare-feu et de proxy.
• Cloud et Microsoft 365 : journaux d'audit, connexions, règles de messagerie. Une part croissante des investigations s'y joue.

Les compétences d'investigation

• Bâtir une chronologie à partir de sources multiples et repérer les incohérences.
• Distinguer les faits des hypothèses, et dire ce qu'il faudrait vérifier pour trancher.
• Préserver la preuve : calcul d'empreintes, documentation de chaque manipulation, chaîne de traçabilité.
• Connaître les techniques d'attaque : le référentiel MITRE ATT&CK aide à structurer ce que vous observez.

Les outils, à apprendre par la pratique

Les outils libres suffisent pour apprendre : Volatility pour la mémoire, The Sleuth Kit et Autopsy pour les disques, Plaso pour les chronologies, Velociraptor ou KAPE pour la collecte, Wireshark pour le réseau. Ne cherchez pas à tous les maîtriser. Comprenez ce que chacun extrait et d'où vient l'information : c'est cela qui vous permettra de changer d'outil sans perdre vos repères.

Les compétences transverses

Le scripting (Python ou PowerShell) vous fera gagner un temps considérable pour traiter de gros volumes. La rédaction claire, le calme sous pression et la capacité à expliquer une conclusion à un non-spécialiste comptent autant que la technique.

Formations et parcours d'entrée

Il n'existe pas de voie unique. Le plus souvent, on devient analyste forensique après avoir travaillé ailleurs en sécurité ou en informatique.

Les formations initiales

Les écoles d'ingénieurs et les masters spécialisés en sécurité des systèmes d'information donnent les bases. Certains proposent des modules d'investigation numérique. L'alternance est particulièrement utile : une première expérience dans un SOC ou une équipe CSIRT pèse lourd dans les entretiens.

Les passerelles depuis un autre poste

• Depuis le SOC : c'est la voie la plus naturelle. Un analyste N2 ou N3 investigue déjà des incidents, et la réponse à incident en est le prolongement. Notre guide pour devenir analyste SOC décrit ce point de départ.
• Depuis l'administration système : vous connaissez déjà Windows, l'annuaire et les journaux. Il vous reste à apprendre la démarche d'enquête et les techniques d'attaque.
• Depuis le pentest : vous savez comment un attaquant procède, ce qui aide à savoir où chercher. Le changement porte sur la rigueur de la preuve et la rédaction.
• Depuis une reconversion : c'est possible, mais rarement directement vers un poste forensique. Passer d'abord par un poste de SOC ou d'administration est en général plus réaliste.

Et les certifications ?

Il existe des certifications spécialisées en investigation numérique, proposées notamment par des organismes de formation reconnus dans le domaine. Elles structurent l'apprentissage et peuvent aider à passer un premier filtre, mais leur coût est souvent élevé et elles ne remplacent pas la pratique. Si votre employeur peut en financer une, c'est une bonne option. Notre article sur ce que les certifications disent vraiment d'un candidat explique comment les recruteurs les lisent.

Un plan d'apprentissage concret

1. Consolidez les fondamentaux Windows et Active Directory : montez un petit lab avec un contrôleur de domaine et quelques postes, activez la journalisation, puis observez ce que produisent vos propres actions.
2. Attaquez votre lab, puis enquêtez : reproduisez des techniques simples (exécution d'un script, création d'un compte, connexion à distance) et retrouvez-les dans les traces.
3. Analysez des jeux de données publics : de nombreux challenges de forensique proposent des images disque, des captures mémoire et des journaux réalistes.
4. Rédigez un rapport pour chaque cas : chronologie, faits établis, hypothèses, recommandations. C'est l'exercice qui vous distinguera le plus.
5. Pratiquez les catégories forensique des CTF : elles entraînent à chercher vite et méthodiquement.
6. Suivez les publications de référence : rapports d'incident publiés par les éditeurs et les CERT, publications de l'ANSSI et du CERT-FR sur les menaces et la réponse à incident.

Avancez par cycles courts : un cas, une analyse, un rapport. Mieux vaut cinq investigations complètes et bien documentées que vingt challenges à moitié résolus.

Prouver votre niveau aux recruteurs

Un recruteur DFIR veut voir votre façon de raisonner. Quelques preuves concrètes valent mieux qu'une longue liste d'outils :

• deux ou trois rapports d'investigation rédigés sur vos labs ou sur des jeux de données publics ;
• des write-ups de challenges forensiques, centrés sur la démarche plutôt que sur le résultat ;
• un petit outil ou script utile (parsing d'un artefact, automatisation d'une collecte) ;
• sur votre CV, des investigations réelles décrites par leur contexte et votre rôle, sans information confidentielle.

Notre guide pour un CV cybersécurité qui donne envie de vous appeler détaille comment présenter ces éléments.

Préparer les entretiens

Les entretiens pour un poste forensique comportent presque toujours une mise en situation : un poste compromis, quelques journaux, une capture mémoire, et la question « que s'est-il passé ? ». On évalue votre méthode, votre capacité à dire ce que vous ne savez pas encore et la clarté de votre restitution.

Attendez-vous à des questions comme :

• Quelles traces consulteriez-vous pour savoir si un programme a été exécuté sur un poste Windows ?
• Comment collecteriez-vous des preuves sur un serveur que l'on ne peut pas éteindre ?
• Comment repéreriez-vous un mouvement latéral dans les journaux d'authentification ?
• Comment présenteriez-vous vos conclusions à un dirigeant qui doit décider en une heure ?

Pour vous entraîner, consultez les questions d'entretien pour un analyste réponse à incident, qui s'appliquent largement à ce métier, ainsi que nos conseils pour réussir un entretien technique en cybersécurité.

Interrogez aussi votre futur employeur sur le rythme réel : fréquence des astreintes, part de crise et de travail planifié, déplacements chez des clients. Côté rémunération, les écarts sont importants selon le contexte (interne ou prestataire), le secteur et les astreintes. Comparez les offres sur l'ensemble de ces critères.

Les erreurs à éviter

• Collectionner les outils sans comprendre les traces : un outil peut se tromper, et vous devez savoir le repérer.
• Négliger la rédaction : votre rapport est souvent le seul livrable que verront les décideurs.
• Viser directement l'expertise judiciaire : ce contexte demande en général une solide expérience préalable en investigation.
• Conclure trop vite : une hypothèse séduisante n'est pas un fait. Les recruteurs apprécient les candidats qui le disent.

En résumé

Devenir analyste forensique demande des fondamentaux systèmes solides, une démarche d'enquête rigoureuse et une vraie capacité à écrire. Le chemin le plus courant passe par un premier poste en SOC, en administration ou en pentest, puis par des investigations de plus en plus approfondies. Construisez un lab, enquêtez sur vos propres attaques, rédigez chaque cas : ces preuves parleront pour vous.

Vous visez un poste en investigation numérique ou en réponse à incident ? Rejoignez gratuitement le réseau Cyber Recrut : nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques, ce qui permet à votre démarche d'être évaluée pour ce qu'elle vaut vraiment. Découvrez aussi notre façon de travailler.