Par où commencer en forensique numérique et réponse à incident en 2026 ?

Commencez par Incident Response and Computer Forensics (Luttgens, Pepe, Mandia). C'est l'introduction structurelle sur laquelle le domaine fonctionne encore — préparation en amont, acquisition de preuves, forensique hôte et réseau, et la discipline de gestion de projet qui distingue une réponse maîtrisée d'une panique. À lire avant tout livre de tradecraft plus spécialisé.

The Art of Memory Forensics est-il encore pertinent avec Volatility 3 ?

Oui. Le livre vise Volatility 2.x et l'outillage est passé à Volatility 3, mais le contenu conceptuel — ce que cherchent les plugins, pourquoi, et les internes du système d'exploitation en dessous — se transpose proprement. Il reste la référence canonique pour l'analyse mémoire sous Windows, Linux et macOS, et rien ne l'a remplacé en librairie.

Faut-il lire les cinq livres DFIR avant de traiter un vrai incident ?

Non. Lisez Incident Response and Computer Forensics d'abord, puis Practical Packet Analysis en parallèle pour la maîtrise du pcap. Les trois autres sont des références à ajouter selon les besoins — forensique mémoire pour les cas chargés en malware, Practical Linux Forensics pour les workloads cloud, et Bejtlich pour la doctrine de détection.

Ces livres suffisent-ils à préparer le GCFA, GCIH, GCFE ou GREM ?

Ils couvrent environ 60 à 70 % du contenu conceptuel ; les 30 à 40 % restants sont du tradecraft qu'on n'obtient que via les cours SANS eux-mêmes ou de vraies missions. Traitez les livres comme nécessaires mais non suffisants — associez-les à des CTF DFIR (Magnet Weekly, DFIR Madness) et, si possible, à du vrai travail de triage.

Les meilleurs livres de forensique numérique & réponse à incident en 2026

La forensique numérique et la réponse à incident est une discipline qui punit l'improvisation et récompense les répétitions. Les bons livres raccourcissent l'écart entre votre premier triage et le premier où vous restez calme — ils donnent le modèle structurel sur lequel le métier fonctionne encore, plus le tradecraft spécifique pour la mémoire, le disque et les preuves réseau.

Les choix en un coup d'œil

Incident Response and Computer Forensics — le primer structurel : à quoi ressemble un vrai programme IR de bout en bout. Commencez ici.
The Art of Memory Forensics — le livre canonique sur Volatility ; la mémoire est là où vivent les attaquants modernes.
Practical Linux Forensics — la référence IR Linux post-systemd que le champ attendait.
Practical Packet Analysis — la mémoire musculaire Wireshark pour le triage piloté par pcap.
The Practice of Network Security Monitoring — le cadre NSM de Bejtlich, encore l'articulation la plus propre de « collecter large, alerter étroit, enquêter large ».

Les revues complètes, avec à qui chaque livre est destiné et qui devrait passer son tour, sont en dessous.

Le primer structurel

Incident Response and Computer Forensics de Luttgens, Pepe et Mandia est ce qui se rapproche le plus d'un manuel pour le champ. Préparation pré-engagement, acquisition de preuves, forensique host et réseau, et — la moitié sous-estimée — la discipline de gestion de projet qui sépare une réponse contrôlée d'une panique.

Le livre est largement on-prem 2014, donc fin sur la réponse aux attaques d'identité (AAD, abus OAuth, golden SAML) et l'IR cloud. À coupler avec les write-ups Mandiant actuels et les runbooks IR AWS/Azure pour la couche manquante, mais à lire en premier pour le modèle de maturité sur lequel le champ fonctionne encore.

Le livre mémoire

The Art of Memory Forensics de Ligh, Case, Levy et Walters est la référence canonique pour analyser la mémoire avec Volatility, sur Windows, Linux et macOS. Le tradecraft post-exploitation moderne est de plus en plus uniquement-mémoire ; si vous ne savez pas analyser une image mémoire, vous ne pouvez pas attraper ce qui se passe vraiment.

Le livre cible Volatility 2.x et le champ est passé à Volatility 3, mais le matériel conceptuel — ce que les plugins cherchent, pourquoi, et ce que font les internals OS en-dessous — se traduit proprement.

Si vous n'avez jamais fait d'IR, ce n'est pas votre premier livre. Lisez IR&CF, puis venez ici.

La référence Linux moderne

Practical Linux Forensics de Bruce Nikkel est la référence IR Linux post-systemd. Internals ext4 / XFS / Btrfs, journaling systemd, emplacements de persistance, et la discipline de chaîne de garde qui distingue les preuves des notes.

La plupart des workloads cloud sont Linux, et la plupart des livres de forensique Linux ont été écrits avant que systemd ne prenne le contrôle. C'est celui qui correspond vraiment aux systèmes que vous allez imager.

À sauter si vous travaillez uniquement Windows. Sinon, c'est le complément moderne à The Art of Memory Forensics.

Le livre pcap

Practical Packet Analysis de Chris Sanders est le livre Wireshark qui transforme l'outil d'intimidant en extension de vos mains. Analystes SOC, incident responders, ingénieurs réseau — quiconque a besoin de lire les pcaps couramment.

Il est écrit pour le troubleshooting et l'IR, pas pour la recherche réseau côté attaque. Pour la profondeur protocolaire, enchaînez avec Attacking Network Protocols (Forshaw) ; pour la lecture réseau adversariale, avec Silence on the Wire (Zalewski). Pour le travail DFIR spécifiquement, c'est le bon niveau.

Le cadre détection

The Practice of Network Security Monitoring de Richard Bejtlich est plus vieux que la plupart des choses sur cette liste, et c'est justement le point. Le tooling spécifique est daté face à l'EDR moderne et à la télémétrie cloud-native, mais le cadrage — collecter large, alerter étroit, enquêter large — définit le champ de la détection moderne et n'a pas été remplacé.

À lire pour la doctrine. À appliquer la doctrine au stack que vous opérez vraiment.

Et SANS, GIAC, et les certifications ?

Si vous visez GCFA, GCIH, GCFE ou GREM, ces livres couvrent environ 60 à 70 % du matériel conceptuel ; les 30 à 40 % restants sont du tradecraft qu'on n'obtient que via les cours SANS ou via de vrais engagements. Les livres sont nécessaires, pas suffisants. Prévoyez de les lire en parallèle d'un travail en lab — les CTF DFIR (Magnet Weekly CTF, DFIR Madness, BlueSky CON) sont là où les réflexes se construisent vraiment.

Le bon ordre

Incident Response and Computer Forensics pour le modèle structurel — à quoi ressemble un programme de bout en bout.
Practical Packet Analysis en parallèle — la fluidité pcap débloque toutes les autres disciplines.
The Art of Memory Forensics une fois au moins un triage géré et le vocabulaire internals OS chargé.
Practical Linux Forensics si votre environnement est Linux-lourd (et la plupart des environnements cloud modernes le sont).
The Practice of Network Security Monitoring à tout moment — la doctrine se lit court, mais prend des années à absorber.

La seule meilleure chose à faire en parallèle de ces livres est de faire des CTF forensiques régulièrement. Un par mois, chaque mois. Les livres vous disent quelles preuves existent ; les CTF transforment leur découverte en réflexe.