Imagerie disque et investigation des systèmes de fichiers

L'imagerie forensique crée une copie bit à bit d'un support de stockage tout en préservant l'intégrité des preuves. La preuve originale ne doit jamais être modifiée : travaillez à partir d'une copie protégée en écriture. Calculez le hachage de l'original et de la copie pour vérifier leur reproduction exacte.

Les bloqueurs d'écriture matériels empêchent physiquement les commandes d'écriture d'atteindre les disques contenant les preuves. Les bloqueurs d'écriture logiciels (dc3dd, FTK Imager) empêchent les écritures au niveau du système d'exploitation. Utilisez toujours un bloqueur d'écriture avant de connecter des disques contenant des preuves afin d'éviter toute modification accidentelle.

dd crée des images disque brutes. dc3dd ajoute l'affichage de la progression, le calcul du hachage et la sortie fractionnée, indispensables pour les disques volumineux. Utilisez bs=4096 pour améliorer les performances. Vérifiez que le hachage de l'image correspond à celui de la preuve afin de démontrer son intégrité.

FTK Imager fournit une interface graphique (GUI) pour créer des images de disques Windows. Il prend en charge le format E01 (format de témoin expert), qui compresse l'image et stocke le hachage, les détails de l'acquisition et les notes de l'examinateur dans l'en-tête du fichier : il s'agit de la norme forensique pour les preuves.

FAT32 stocke les métadonnées des fichiers dans les entrées de répertoire et la chaîne d'allocation dans la table d'allocation des fichiers. Les fichiers supprimés laissent des entrées de répertoire portant le marqueur 0xE5 ; la chaîne FAT est remise à zéro, mais les clusters de données peuvent subsister. Les outils de récupération utilisent ces vestiges.

NTFS stocke toutes les métadonnées dans la table maîtresse des fichiers (MFT). Chaque enregistrement MFT décrit un fichier. $LogFile enregistre les modifications pour permettre la récupération après un incident. $UsnJrnl (journal des modifications) enregistre chaque opération sur un fichier : c'est une mine d'informations pour reconstituer une chronologie, même après une suppression.

Autopsy et Sleuth Kit récupèrent les fichiers supprimés en recherchant des entrées MFT intactes associées à des clusters de données désalloués et en pratiquant la récupération par signature : ils identifient les octets magiques (signatures) des fichiers dans les données brutes des clusters, indépendamment des métadonnées du système de fichiers.

La récupération par signature retrouve les fichiers à partir de leurs en-têtes et pieds de page (octets magiques) dans l'espace non alloué. JPEG commence par FF D8 FF. PDF commence par 25 50 44 46. ZIP commence par 50 4B 03 04. Scalpel et PhotoRec sont les principaux outils de récupération par signature.

Autopsy génère une chronologie à partir des heures MAC (modification, accès, changement) et des entrées $UsnJrnl. Filtrez autour de l'heure présumée de la compromission pour voir quels fichiers ont été créés, modifiés ou supprimés et reconstituer chronologiquement les actions de l'attaquant.

Le Registre Windows enregistre les logiciels installés, les périphériques USB (USBSTOR), les documents récents, le dernier utilisateur connecté et la persistance via les clés Run. Registry Explorer et RegRipper extraient et analysent les ruches du registre à partir des images disque pour permettre l'analyse des artefacts.

L'historique du navigateur, les cookies, les fichiers mis en cache et les données de formulaire sont stockés dans des bases de données SQLite. Chrome utilise LevelDB. L'extraction de ces artefacts révèle les activités de reconnaissance de l'attaquant, la préparation de l'exfiltration et les canaux de commande Web.

Pourquoi faut-il utiliser un bloqueur en écriture lors de l'examen de disques contenant des preuves ?

L'analyse forensique des disques commence par la création d'une image forensique fiable à l'aide de bloqueurs en écriture et par une vérification des hachages. Le MFT de NTFS, $UsnJrnl, les ruches du registre, les bases de données des navigateurs et l'extraction de fichiers dans l'espace non alloué permettent ensemble de reconstituer l'activité d'un attaquant sur des systèmes compromis.