Analyse forensique du réseau et de la mémoire

La criminalistique réseau capture et analyse le trafic réseau afin de reconstituer les communications de l’attaquant, d’identifier les mouvements latéraux et de détecter l’exfiltration de données. Contrairement à la criminalistique des terminaux, qui examine des preuves susceptibles d’avoir été altérées sur un hôte compromis, les preuves réseau sont plus difficiles à modifier après coup : les attaquants ne peuvent pas supprimer rétroactivement des paquets déjà capturés par une sonde réseau ou un système de surveillance des flux. La criminalistique réseau complète celle des terminaux afin de fournir une vision complète de l’attaque.

La capture de paquets (PCAP) enregistre tout le trafic réseau au niveau des paquets, y compris le contenu intégral des charges utiles. Parmi les outils figurent Wireshark (avec une interface graphique, très utilisé), tcpdump (en ligne de commande et scriptable) et Zeek (anciennement Bro, qui produit des journaux au niveau des protocoles à partir de PCAP). La capture intégrale des paquets nécessite beaucoup d’espace de stockage ; les réseaux à haut débit peuvent exiger des appliances de capture spécialement conçues à cet effet. L’analyse de PCAP peut révéler : des identifiants dans des protocoles en clair, des schémas de balises C2, des données exfiltrées et des connexions liées aux mouvements latéraux.

NetFlow (ainsi que son équivalent libre IPFIX) enregistre les métadonnées des échanges réseau sans capturer le contenu des charges utiles : IP source et destination, port source et destination, protocole, nombre d’octets, nombre de paquets et horodatages. NetFlow est bien plus économe en stockage que PCAP complet et convient à une conservation à long terme (90 à 365 jours). Lors d’une analyse criminalistique, NetFlow peut identifier : les systèmes qui ont communiqué pendant la période de l’incident, l’exfiltration de données (grands volumes d’octets sortants) et les balises C2 (petites connexions régulières vers des IP externes).

Les journaux de requêtes DNS constituent une source criminalistique puissante, car la plupart des communications C2 et des téléchargements de programmes malveillants nécessitent une résolution DNS. Les indicateurs d’une activité DNS malveillante comprennent : des requêtes vers des domaines récemment enregistrés ou de faible réputation, un grand nombre de requêtes vers un même domaine (un programme malveillant DGA essayant de nombreux noms générés), le tunneling DNS (des noms de sous-domaines inhabituellement longs ou à forte entropie utilisés pour exfiltrer des données) et des requêtes vers des domaines associés à des familles de programmes malveillants connues. Le DNS est souvent journalisé même lorsque l’inspection du trafic HTTP est limitée.

Les canaux de commande et de contrôle (C2) entre les serveurs contrôlés par l’attaquant et les systèmes compromis présentent des schémas caractéristiques. Le balayage périodique produit des connexions régulières (par exemple, toutes les 30 secondes), identifiables dans NetFlow sous la forme de nombreux petits paquets envoyés à la même IP externe selon un intervalle régulier. La variation aléatoire ajoute une randomisation aux intervalles entre les balises afin d’échapper à la détection. Les analystes recherchent une régularité statistique dans le calendrier des connexions pour identifier ces balises parmi le bruit du trafic web normal.

La criminalistique de la mémoire analyse les vidages de RAM afin d’extraire des preuves d’activités malveillantes qui peuvent ne pas être présentes sur le disque. Le Volatility Framework (libre) est l’outil de référence du secteur pour l’analyse de la mémoire. Ses principales capacités sont les suivantes : répertorier les processus en cours d’exécution et leurs relations parent-enfant, identifier le code injecté dans des processus légitimes, extraire les connexions réseau ouvertes au moment de l’acquisition, récupérer le contenu des ruches du registre depuis la mémoire et extraire les clés de chiffrement conservées en RAM.

Les programmes malveillants en mémoire présentent des schémas spécifiques que les modules d’extension de Volatility peuvent identifier. L’injection de processus (du code injecté dans un processus légitime tel que svchost.exe) apparaît sous la forme de régions mémoire dotées de permissions d’exécution dans un processus qui ne devrait normalement pas en disposer. Les processus évidés (des enveloppes de processus légitimes dont le code d’origine a été remplacé par du code malveillant) présentent des incohérences entre le nom du processus et le code réellement présent en mémoire. Les rootkits du noyau peuvent dissimuler des processus dans la liste des processus, mais Volatility peut les détecter en comparant la liste des processus en cours d’exécution avec la liste brute des structures de processus du noyau.

La criminalistique de la mémoire est particulièrement efficace pour récupérer des identifiants. Windows stocke les identifiants dans la mémoire du processus LSASS (Local Security Authority Subsystem Service) pour permettre l’authentification unique. Des outils comme Mimikatz exploitent ce mécanisme en lisant la mémoire de LSASS afin d’extraire des mots de passe en clair et des hachages NTLM. D’un point de vue criminalistique, Volatility peut extraire les mêmes informations depuis un vidage de mémoire acquis pour l’enquête, révélant ainsi quels identifiants étaient mis en cache sur le système compromis et permettant d’évaluer l’étendue des mouvements latéraux potentiels.

L’analyse criminalistique la plus puissante combine les preuves réseau et mémoire. La mémoire montre quels processus étaient en cours d’exécution et quel code ils contenaient ; la criminalistique réseau montre avec qui ces processus communiquaient. Lorsqu’un processus visible dans l’analyse de la mémoire avec Volatility possède une connexion réseau visible dans PCAP, se connecte à un domaine signalé dans les journaux DNS et correspond à une IP externe dans NetFlow, cette convergence fournit une attribution très fiable de l’activité malveillante et permet de reconstituer complètement l’attaque.

Des horodatages exacts sont essentiels pour mettre en corrélation les preuves criminalistiques réseau et celles des terminaux. Si l’horloge d’un serveur avance ou retarde de 15 minutes par rapport à celle du pare-feu, la mise en corrélation des événements par horodatage produit des chronologies erronées. Les preuves de criminalistique réseau ne sont fiables que dans la mesure où la synchronisation temporelle des appareils qui génèrent les journaux l’est. Les organisations doivent configurer un NTP (Network Time Protocol) cohérent sur tous les appareils pertinents pour la sécurité et documenter toute divergence temporelle connue découverte pendant une enquête.

La plupart des communications C2 modernes utilisent le chiffrement TLS, ce qui empêche les analystes en criminalistique réseau de lire directement le contenu des charges utiles. Toutefois, même le trafic chiffré révèle des métadonnées : des schémas temporels de connexion (balayage périodique), des anomalies de certificats (certificats autosignés provenant de l’infrastructure de l’attaquant, champs CN incohérents), des empreintes JA3 (identification de l’empreinte du client TLS pouvant reconnaître certaines familles de programmes malveillants quelle que soit la destination) et des caractéristiques inhabituelles de la négociation TLS. Des outils comme Zeek extraient automatiquement les empreintes JA3 des connexions TLS, ce qui permet de détecter des programmes malveillants connus sans déchiffrer le trafic.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : les captures de paquets et NetFlow fournissent des preuves réseau complémentaires : PCAP montre le contenu intégral, tandis que NetFlow montre les métadonnées à grande échelle ; les balises C2 apparaissent sous la forme de connexions périodiques régulières, détectables grâce à l’analyse statistique du calendrier des connexions ; et Volatility Framework analyse les vidages de RAM pour détecter l’injection de processus, extraire les connexions réseau et identifier les programmes malveillants dissimulés dans des processus légitimes. Félicitations pour avoir terminé les modules de criminalistique ; la prochaine étape porte sur la gestion des risques et les cadres de sécurité.