Timeline forensics : corrélez logs, artefacts mémoire et MFT avant de conclure. Un `volatility3 -f mem.raw windows.info` puis `fls -m C: image.dd` donne souvent la clé d'un incident. Astuce : normalisez les TZ en UTC dès le départ, sinon votre timeline ment. Labs pratiques sur bug404found : https://bug404found.com/?utm_source=mastodon&utm_medium=social&utm_campaign=awareness&utm_content=fr #cybersec #infosec #securite #DFIR #Forensics #MemoryForensics