Ordre de volatilité et acquisition des preuves

La criminalistique numérique consiste à appliquer des méthodes scientifiques pour collecter, préserver, analyser et présenter des éléments de preuve numériques de manière recevable en justice. Les enquêteurs en criminalistique reconstituent la chronologie des attaques, identifient la cause première des incidents et récupèrent les données supprimées ou dissimulées. Ce domaine repose sur des exigences procédurales strictes, car des éléments de preuve mal manipulés — même d’un point de vue technique — peuvent être déclarés irrecevables dans le cadre d’une procédure judiciaire. La criminalistique fait le lien entre les mondes technique et juridique.

L’ordre de volatilité définit la séquence dans laquelle les éléments de preuve numériques doivent être collectés, des plus volatils (ceux qui disparaissent le plus rapidement) aux moins volatils (ceux qui persistent le plus longtemps). Les enquêteurs en criminalistique collectent toujours les données les plus volatiles en premier, car elles seront perdues lorsque le système sera éteint ou redémarré. Une collecte effectuée dans le mauvais ordre détruit des éléments de preuve qui auraient pu être capturés. La norme RFC 3227 fournit un ordre de volatilité largement adopté pour les procédures de criminalistique.

L’acquisition de la mémoire (capture de la RAM) est l’une des opérations de criminalistique les plus précieuses et les plus urgentes. La RAM contient : les processus en cours d’exécution et leurs arguments, les versions déchiffrées des fichiers chiffrés actuellement utilisés, les tables de connexions réseau, les identifiants utilisateur mis en cache par l’OS, les clés de chiffrement conservées en mémoire et les logiciels malveillants sans fichier qui n’existent que dans la RAM. La mémoire doit être acquise pendant que le système est sous tension : un redémarrage ou un arrêt détruit entièrement ces éléments de preuve. Les outils comprennent Magnet RAM Capture, WinPmem et LiME (pour Linux).

L’imagerie d’un disque crée une copie criminalistique bit à bit d’un périphérique de stockage, y compris toutes les données, les fichiers supprimés, l’espace non alloué et les métadonnées du système de fichiers. Pour empêcher toute modification accidentelle des éléments de preuve originaux, un bloqueur d’écriture est connecté entre le disque contenant les éléments de preuve et la station de travail de criminalistique : il transmet les commandes de lecture, mais bloque toutes les commandes d’écriture. Ainsi, les éléments de preuve originaux ne sont pas modifiés pendant l’acquisition, ce qui préserve leur intégrité pour les procédures judiciaires.

Le hachage cryptographique est fondamental pour garantir l’intégrité des éléments de preuve criminalistiques. Chaque élément de preuve doit faire l’objet d’un hachage au moment de sa collecte avec SHA-256 (ou MD5 pour assurer la compatibilité avec les anciens systèmes). Le hachage est consigné dans la documentation de la chaîne de conservation. Chaque fois que l’élément de preuve est consulté ou transféré, le hachage est recalculé : s’il correspond à l’original, l’élément de preuve n’a pas été modifié. Les tribunaux exigent cette preuve d’intégrité pour accepter les éléments de preuve numériques. Une non-correspondance de hachage signifie que l’élément de preuve a été modifié et peut être déclaré irrecevable.

La criminalistique en mode actif (en ligne) collecte les éléments de preuve sur un système en fonctionnement, en capturant les données volatiles avant l’arrêt. Elle est nécessaire lorsqu’une analyse de la mémoire volatile est requise, lorsque le système ne peut pas être mis hors ligne ou lorsque des logiciels malveillants sans fichier ne seraient pas visibles sur le disque. La criminalistique hors ligne (système éteint) analyse des systèmes hors tension à l’aide d’images disque, ce qui est plus sûr et mieux contrôlé. Les incidents modernes nécessitent souvent une combinaison des deux approches : capturer les données volatiles en mode actif, puis éteindre le système et créer une image du disque pour effectuer une analyse plus approfondie.

Lors d’un incident actif touchant plusieurs systèmes, les enquêteurs doivent effectuer un triage, c’est-à-dire déterminer quels systèmes examiner en premier. Les critères de triage comprennent : les systèmes disposant des accès les plus étendus (contrôleurs de domaine, bases de données), ceux qui sont les plus susceptibles de contenir des mécanismes de persistance de l’attaquant, ceux ayant enregistré l’activité malveillante la plus récente et ceux dont l’impact sur l’activité est le plus élevé. La collecte de niveau triage utilise la télémétrie EDR et la collecte ciblée d’artefacts plutôt qu’une imagerie complète des disques, ce qui permet d’analyser rapidement de nombreux systèmes simultanément.

Les fichiers de capture de paquets (PCAP)** enregistrent tout le trafic réseau au niveau des paquets. Lors d’un incident, les éléments de preuve PCAP peuvent révéler : des identifiants transmis en clair, des commandes envoyées à des systèmes compromis via des canaux C2, des données exfiltrées (transferts sortants volumineux), des déplacements latéraux (schémas de connexions internes) et les sources de téléchargement de logiciels malveillants. Les PCAP sont acquis à l’aide de Wireshark, de tcpdump ou de sondes réseau. L’acquisition de PCAP nécessite une autorisation, car elle capture tout le trafic d’un segment et peut notamment inclure des communications confidentielles.

Les environnements cloud présentent des difficultés particulières en matière de criminalistique. L’accès physique au matériel sous-jacent n’est pas disponible : les fournisseurs cloud contrôlent la couche de l’hyperviseur. Les images disque des machines virtuelles peuvent être capturées sous forme de snapshots via les API cloud. Les données de journaux (CloudTrail, Azure Monitor) constituent la principale source d’éléments de preuve pour les incidents cloud. L’acquisition de la mémoire est limitée aux techniques prises en charge par le fournisseur cloud ou par l’introspection de VM. La compétence juridictionnelle peut être complexe lorsque les serveurs cloud se trouvent dans des pays différents de celui où l’incident s’est produit. Il est essentiel de comprendre ces contraintes pour enquêter sur les incidents cloud.

Les enquêteurs en criminalistique utilisent des outils spécialisés conçus pour manipuler correctement les éléments de preuve. Autopsy (à code source ouvert) et FTK (Forensic Toolkit) (commercial) analysent les images disque et extraient les artefacts. Volatility analyse les vidages de mémoire afin d’en extraire les processus, les connexions réseau et les artefacts de logiciels malveillants. Magnet AXIOM prend en charge la criminalistique numérique et mobile. Wireshark analyse les fichiers PCAP. X-Ways Forensics est une suite commerciale légère mais puissante. Les enquêteurs doivent utiliser des outils validés pour garantir l’intégrité des éléments de preuve.

La préparation à la criminalistique signifie qu’une organisation a pris, avant un incident, des mesures pour garantir que les éléments de preuve numériques pourront être collectés efficacement et seront recevables en justice. Les mesures comprennent : la configuration d’une journalisation complète sur tous les systèmes critiques, une durée de conservation des journaux suffisante pour faciliter les enquêtes (90 à 365 jours), des procédures documentées de traitement des éléments de preuve, des premiers intervenants formés pour ne pas altérer les éléments de preuve, des outils de criminalistique prépositionnés ou disponibles rapidement et une autorisation juridique examinée à l’avance (par exemple, le consentement des employés aux politiques de surveillance).

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : l’ordre de volatilité impose de capturer d’abord la RAM et les processus en cours d’exécution, car ils sont perdus lorsque le système est éteint, les bloqueurs d’écriture empêchent toute modification des éléments de preuve originaux pendant l’imagerie des disques, et le hachage SHA-256 lors de la collecte et de la vérification garantit l’intégrité des éléments de preuve et leur recevabilité en justice. Nous allons maintenant étudier la chaîne de conservation et la recevabilité juridique.