En forensics, la timeline fait souvent la différence. Astuce : sur Linux, `fls -r -m / image.dd > bodyfile` puis `mactime -b bodyfile -d` pour reconstruire l'activité fichier. Couplé à l'analyse mémoire (Volatility) et aux logs, tu corrèles les artefacts. Pour s'entraîner sur des cas concrets : https://bug404found.com/?utm_source=mastodon&utm_medium=social&utm_campaign=awareness&utm_content=fr #cybersec #infosec #securite #forensics #DFIR #blueteam