Forensics numérique et chaîne de conservation après incident

Le forensics numérique reconstruit une séquence d’actions à partir de traces imparfaites : contenu disque, mémoire volatile, journaux et flux réseau. Le résultat attendu n’est pas un récit séduisant, mais un ensemble de faits reproductibles, reliés à des hypothèses explicitement bornées.

→ Lire l’explication complète de la marmotte

Confinement et préservation des preuves

Le compromis central est brutal : confiner vite réduit le temps d’action de l’attaquant, préserver l’état augmente les chances de comprendre sa présence et son périmètre. Couper immédiatement toute machine suspecte est rarement la meilleure décision. Cette action détruit les connexions actives, les clés de session, les processus injectés, la mémoire volatile et les commandes en cours. Elle peut aussi avertir un opérateur adverse assez réveillé pour déclencher un wiper ou une suppression coordonnée de journaux.

La recommandation est donc de contenir sélectivement avant d’isoler, sauf destruction active, exfiltration immédiate ou risque pour la sécurité physique. Révoquer les accès externes, bloquer les sorties vers les infrastructures adverses connues, retirer les privilèges d’administration et imposer une capture réseau ciblée limitent l’impact sans annoncer nécessairement la fin de la partie. L’isolement réseau total intervient après acquisition de la mémoire, sauf si l’hôte chiffre déjà ses disques ou efface ses données.

Un confinement réseau ne garantit pas l’arrêt de l’attaquant. Un accès persistant local, une tâche planifiée, un compte administrateur de domaine ou un canal via un fournisseur distinct peuvent survivre au filtrage initial. Les menaces réseau et mécanismes de détection donnent le contexte pour qualifier les flux, mais la décision de confinement doit reposer sur des indicateurs observés, pas sur le classement marketing d’une alerte.

L’horodatage est une faiblesse structurelle. Une machine compromise peut avoir une heure locale falsifiée, une zone horaire modifiée ou une synchronisation désactivée. Il faut conserver l’heure affichée sur l’hôte, relever l’écart avec une source UTC (temps universel coordonné) de référence et documenter la méthode de comparaison. Une chronologie qui mélange des journaux sans conversion ni estimation de dérive produit une fiction très bien mise en page.

Vingt ans de réponse à incident apprennent que le bouton « isoler l’hôte » a souvent été conçu pour les démonstrations. En production, il coupe aussi la télémétrie qui permettait enfin de savoir ce qui brûle.

Chaîne de conservation et intégrité probatoire

La chaîne de conservation, ou chain of custody, documente qui a détenu une preuve, quand, pourquoi, où elle a été stockée et quelle opération a été réalisée. Elle ne rend pas un fichier vrai par magie. Elle rend détectable une altération après acquisition et permet de démontrer que le chemin entre la source et l’analyse reste contrôlé.

Chaque élément doit recevoir un identifiant unique, une description, la source, l’heure de collecte, l’identité de l’opérateur, le fuseau horaire, la méthode utilisée, les empreintes cryptographiques et l’emplacement de stockage. Toute remise, copie, analyse ou restauration crée une nouvelle entrée horodatée. Le registre est signé avec une clé distincte des systèmes sous investigation, idéalement protégée dans un HSM (Hardware Security Module). Une signature prouve l’intégrité du registre et l’identité technique du signataire, pas que l’observation initiale était exacte. Cette nuance évite de confondre cryptographie et divination.

L’original ne doit jamais servir à l’analyse. Pour un disque physique, l’acquisition passe par un bloqueur d’écriture matériel, puis par une image bit à bit. Pour un volume virtualisé, il faut exporter le disque et les métadonnées de l’hyperviseur, en documentant le point de cohérence. Pour un stockage objet, conserver la version, les métadonnées, la politique de rétention et les journaux d’accès. Une copie de travail peut être indexée, montée ou disséquée. L’original, lui, reste scellé et vérifié périodiquement.

L’empreinte SHA-256 (Secure Hash Algorithm 256 bits) est le minimum courant pour identifier une image. Calculer deux fois la même empreinte avec le même outil ne constitue pas une validation indépendante. Utiliser un second outil ou une seconde implémentation réduit le risque d’erreur opérationnelle. La collision théorique n’est pas le problème dominant ici : l’acquisition tronquée, le mauvais volume ou le fichier renommé sont bien plus inventifs que les attaques académiques.

L’exploitabilité juridique dépend du droit applicable, des procédures internes, des contrats et de l’autorité qui collecte. Cette page traite la discipline technique nécessaire pour préserver une preuve, pas le conseil juridique. Une procédure pénale ne se remplace pas par un fichier README.md, même signé avec beaucoup d’enthousiasme.

Traces disque, mémoire et réseau : ce que chaque source établit

Le disque apporte la persistance : exécutables, tâches planifiées, historiques, bases de données, journaux, fichiers supprimés parfois récupérables et mécanismes de démarrage. Il établit qu’un artefact a existé sur un système de fichiers au moment de l’acquisition. Il n’établit pas, seul, qu’il a été exécuté, par qui, ni depuis quel réseau. Les dates de modification sont manipulables et certains systèmes de fichiers retardent ou réécrivent leurs métadonnées.

La mémoire contient ce que le disque ne conserve pas forcément : processus actifs, connexions, modules chargés, jetons d’accès, commandes, clés de chiffrement en clair et contenu déchiffré. Elle est volatile, donc sa capture modifie forcément l’état de la machine. Cette modification est acceptable si elle est documentée : outil, version, empreinte de l’outil, privilèges, heure de début et de fin, empreinte du fichier résultant. Prétendre obtenir une mémoire « sans aucune modification » relève de la littérature fantastique, avec moins de dragons et davantage de pilotes noyau.

Le réseau établit des communications observées depuis le point de capture. Une capture complète peut relier une adresse, un protocole, une heure et parfois une charge utile. Les journaux de pare-feu ou de proxy établissent généralement une décision de passage, pas le contenu réellement reçu par l’application. Avec du chiffrement de transport, l’analyse dépend des métadonnées, des journaux applicatifs ou des clés de session capturées légalement et techniquement. Le chiffrement protège le flux contre l’observateur réseau, il ne transforme pas l’application compromise en témoin fiable.

La chronologie doit classer les affirmations en trois catégories :

fait établi : une image disque porte une empreinte vérifiée, un processus apparaît dans une capture mémoire, un flux est présent dans une capture réseau ;
inférence étayée : un binaire a probablement établi la connexion observée, car son identifiant de processus, son port local et son horodatage concordent ;
hypothèse : l’opérateur a exfiltré des données ou utilisé un compte précis, faute de contenu, d’authentification corrélée ou d’événement indépendant.

Une même source compromise ne doit jamais valider sa propre histoire. Un journal local affirmant qu’aucune session n’a existé n’efface pas un flux réseau ni une authentification enregistrée ailleurs. La corrélation doit croiser des domaines de confiance distincts : hôte, réseau, identité, hyperviseur et journalisation centralisée. Les mécanismes d’identités et d’authentification sont souvent la source qui relie un compte à une action, à condition que les journaux aient été exportés avant l’incident.

Acquisition reproductible d’une image disque

L’acquisition doit produire un fichier, ses empreintes et un journal de commande conservé avec le dossier de preuve. L’exemple suivant s’applique à un disque attaché en lecture seule à une station d’acquisition Linux. Il ne faut jamais lancer cette commande sur le volume source monté en écriture, ni confondre /dev/sdb et le disque de travail. Cette confusion possède une remarquable capacité à arriver juste avant le café.

# Vérifier que le périphérique source est bien en lecture seule.
lsblk -o NAME,SIZE,RO,MODEL,SERIAL /dev/sdb

# Acquérir tous les secteurs, conserver la position des erreurs éventuelles.
sudo dd if=/dev/sdb of=/evidence/case-042/disk-sdb.raw \
  bs=4M conv=noerror,sync status=progress

# Calculer deux empreintes et journaliser le résultat horodaté en UTC.
sha256sum /evidence/case-042/disk-sdb.raw \
  | tee /evidence/case-042/disk-sdb.raw.sha256
sha512sum /evidence/case-042/disk-sdb.raw \
  | tee /evidence/case-042/disk-sdb.raw.sha512

# Rendre l'image et ses manifestes non modifiables avant transfert contrôlé.
sudo chmod a-w /evidence/case-042/disk-sdb.raw*

dd ne remplace pas un outil d’acquisition spécialisé lorsque le format de preuve, la journalisation des secteurs défaillants ou la validation indépendante sont exigés. Il illustre toutefois la propriété recherchée : lire la source, produire une copie identifiée, vérifier son contenu et figer les artefacts. La permission en lecture seule n’est pas une mesure de conservation suffisante, car un administrateur peut la modifier. Il faut un stockage à accès contrôlé, des sauvegardes immuables et des contrôles d’intégrité réguliers.

Exploitation, secrets et reprise après investigation

Les outils de collecte sont des actifs sensibles. Un agent de réponse disposant de privilèges administrateur, des identifiants d’hyperviseur ou une clé de signature de preuve constituent une cible de choix. Séparer les comptes d’acquisition, d’analyse et d’administration réduit l’impact d’un poste compromis. Les secrets d’investigation doivent être stockés hors de l’environnement touché, rotés après usage et corrélés avec les accès enregistrés.

La conservation nécessite au moins deux copies, dans des domaines d’administration distincts, dont une protégée contre la suppression ou la modification pendant une durée définie. Tester la restauration des images et des manifestes est obligatoire : une empreinte parfaite d’un fichier irrécupérable ne résout rien. Les principes de sauvegarde et continuité s’appliquent aussi aux preuves, avec une différence : une restauration doit préserver le manifeste, les signatures et le registre de manipulation.

Après éradication, reconstruire l’hôte depuis une source maîtrisée reste préférable à la désinfection créative d’un système compromis. La preuve est conservée séparément, puis les indicateurs confirmés alimentent détection, blocage et recherche rétrospective. Une investigation qui produit un rapport sans nouvelles règles de détection est un musée : parfois instructif, rarement protecteur.

🐝 Ce qui arrive si on s’en passe

Sans acquisition préservée ni registre de manipulation, l’analyse se fait sur un système vivant qui continue d’écrire : les artefacts sont écrasés au fil des redémarrages, des rotations de journaux et des réinstallations, et la fenêtre d’observation se referme avant que le périmètre ne soit connu. Faute de périmètre, la remédiation cible l’hôte bruyant et laisse intacts les comptes, les tâches planifiées et les accès tiers réellement utilisés, ce qui rend une réintrusion indiscernable d’une persistance jamais retirée. L’absence d’empreintes et d’horodatage documenté rend une preuve contestable par tout tiers (assureur, autorité, partenaire contractuel), puisque rien ne distingue la copie collectée d’un fichier modifié depuis. Enfin, sans artefacts conservés, aucun indicateur ne peut alimenter une recherche rétrospective sur le reste du parc, et les mêmes accès restent exploitables.

🦫 Explication de la marmotte 🍫

Lorsqu’une intrusion est suspectée, il faut d’abord empêcher les dégâts sans effacer ce qui permet de comprendre. Couper immédiatement un ordinateur peut stopper un pirate, mais peut aussi faire disparaître des informations qui n’existent que tant que l’ordinateur fonctionne : programmes actifs, connexions ouvertes et données temporairement gardées en mémoire. On limite donc d’abord certains accès, puis on récupère les éléments les plus fragiles avant d’isoler totalement la machine si nécessaire.

Les données sont prises à plusieurs endroits. Le disque montre les fichiers, les réglages et des traces anciennes. La mémoire montre l’état de l’ordinateur au moment de la capture. Les enregistrements réseau montrent quelles communications ont été observées. Aucune de ces sources ne raconte toute l’histoire seule. Il faut comparer leurs heures, tenir compte d’une horloge éventuellement fausse, et séparer ce qui est observé de ce qui est seulement supposé.

Pour que les résultats restent vérifiables, la source originale n’est pas analysée directement. Une copie est créée, son contenu est identifié par un calcul qui change si le fichier change, puis chaque personne et chaque action sont enregistrées avec une date. Les copies de travail servent aux recherches. L’original reste protégé. Si une étape manque, il devient plus difficile de prouver que les données examinées sont bien celles recueillies au départ.

Pages voisines

La citent

Forensics numérique et chaîne de conservation après incident

Elle cite

: les deux pages se citent l’une l’autre.

Forensics numérique et chaîne de conservation après incident

Forensics numérique et chaîne de conservation après incident

Confinement et préservation des preuves

Chaîne de conservation et intégrité probatoire

Traces disque, mémoire et réseau : ce que chaque source établit

Acquisition reproductible d’une image disque

Exploitation, secrets et reprise après investigation

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines