Plan du cours : Digital Forensics

 Module 1 : Introduction et Acquisition

 Module 2 : Analyse de fichier et Analyse de disque
 Module 3 : Forensics système et réseau
 Travaux pratiques

Objectifs d'apprentissage
Après avoir suivi ce cours, vous serez :
 Capable de réaliser une investigation numérique
 Capable de reconstruire des structures de données et des événements
à partir d’une masse d'informations disponibles.
 Capable de localiser des artefacts, qui sont utilisés comme preuves
convaincantes
Ce cours pose les concepts de base, les fondamentaux et les techniques
de l’investigation numérique.
Le monde de l'investigation numérique est vaste et comprend de
nombreux domaines d'analyse.
Ce cours couvre :
 Acquisition de données.
 Documents et métadonnées de fichiers
 Disques et systèmes de fichiers
 Investigation Windows
 Investigation réseau
 Analyse et corrélation des journaux
 Analyse chronologique et création de rapports
Le cours ne couvre pas :
 Aspect juridique d'une enquête
 Types de mandats de perquisition
 Témoins experts

Module 1 : Introduction et Acquisition

1. Introduction
1.1 Introduction

Les utilisateurs laissent des artefacts ou des secrets lorsqu'ils utilisent ou

lorsqu'ils se déconnectent d'un ordinateur. Ces artefacts et secrets
constitue des « preuves ».
Les utilisateurs d'ordinateurs pensent qu'en supprimant simplement les
traces de leur activité, tout disparaît. Alors qu'en utilisant le bon outil
d'investigation numérique, nous pouvons localiser, extraire, analyser les
activités et les récupérer.
1.2 Contexte
Qu'est-ce que L’investigation numérique ?
L’investigation numérique (ou science forensique numérique) est une
discipline de la science forensique, qui consiste à récupérer et à examiner
des artefacts trouvés dans des appareils numériques, souvent en relation
avec un crime informatique.
En général, l'objectif principal de l’investigation numérique est de
répondre aux cinq grandes questions concernant tout incident numérique :
 Quoi
 Où
 Quand
 Qui
 Comment

Un exemple d'utilisation de l’investigation numérique est celui des alibis et

des revendications.
Par exemple : Le suspect a-t-il envoyé un e-mail à partir de l'endroit d'où il
prétend l'avoir envoyé ?

Ou bien, le suspect a-t-il visité et utilisé son ordinateur sur un site qu'il
prétend avoir visité ?
Imaginez un cas où un individu accusé de vol ou de meurtre affirme qu'il
se trouvait dans un café au moment où le crime a eu lieu.

Dans un tel cas, avec l'aide de l'investigation numérique des réseaux, il

est possible de recueillir des journaux et d'autres types de preuves liées
au réseau pour vérifier si le suspect a utilisé son ordinateur portable sur ce
réseau pendant le crime.

Par rapport aux crimes conventionnels, les crimes numériques posent de

nouveaux défis aux enquêteurs.

Exemple : Crimes de vol

Un crime conventionnel pourrait être le vol du portefeuille d'un caissier.
Alors qu'un crime numérique pourrait être commis en utilisant différentes
techniques de piratage, telles que le phishing, le skimming, etc.
1.3 Principes fondamentaux

Les principes fondamentaux des enquêtes numériques les plus courantes :

 Preuves numériques
 Outils d’investigation numérique
 Méthode scientifique

1.3.1 Preuve numérique

Dans le monde numérique, une preuve est définie comme toute

information numérique stockée, transmise ou produite à partir d'appareils
électroniques et/ou de logiciels.

Exemples de preuves numériques :

 Images produites par des appareils photo
 Fichiers téléchargés
 Journaux d'impression enregistrés sur des imprimantes
 Messages électroniques
 Fichiers temporaires produits par un navigateur Web
 Fichiers supprimés

Il faut toujours recueillir soigneusement les preuves, mais sur les scènes
de crime impliquant des supports numériques, c'est un problème encore
plus critique.

C'est pourquoi vous devez être conscient du fonctionnement des supports

et applications numériques, car les preuves numériques peuvent être
facilement modifiées ou perdues au cours de leur cycle de vie.

Si une procédure a été menée de manière incorrecte, la preuve pourrait

devenir irrecevable.

Sachez également que vos connaissances et votre expertise dans le

traitement des preuves déterminent la qualité et l’importance des
preuves.

1.3.2 Outils d'investigation numérique

Les outils jouent un rôle important dans le processus d'investigation

numérique. Mais investigation numérique ne se limite pas à l'utilisation
d'outils.

On attend d'un enquêteur qu'il ait une compréhension approfondie de la

technologie sous-jacente à laquelle il a affaire.
Il est important de savoir comment fonctionne l'outil, mais les enquêteurs
numériques doivent également savoir comment les données sont
acquises, traitées, interprétées et affichées par l'outil qu'ils utilisent.
Il existe différents types d’outils à votre disposition :

 Propriétaires
 Open source
 Vos propres outils

Vous devez choisir le meilleur outil pour votre enquête.

1.3.3 Méthode scientifique

Un enquêteur doit également être capable de :

 Appliquer la méthode scientifique pendant l'enquête.

 Analyser les données et comparer les échantillons.
 Remarquer toute anomalie.

Cela n'est pas possible si l’enquêteur n'est pas conscient des

caractéristiques habituelles des données et de la technologie.

La méthode scientifique est un ensemble de techniques permettant de :

 Étudier des phénomènes,

 Acquérir de nouvelles connaissances, ou
 Corriger et intégrer des connaissances antérieures.

La méthode scientifique est l'alliée la plus utile de l'enquêteur dans sa

mission de présenter des preuves fiables.

La méthodologie est simple :

 Observer
 Collecter des données et des faits
 Enfin, construire une hypothèse basée sur les données collectées

L'étape suivante pour l'enquêteur consiste à commencer à faire des

prédictions basées sur l'hypothèse qu'il a formulée. Une telle prédiction
doit être testable et prouvable ; sinon, elle n'a aucun sens.

Pour minimiser les risques d'erreurs, il doit envisager des hypothèses

alternatives et les désapprouver.

La preuve ou la désapprobation se fait en collectant des données

spécifiques qui soutiennent la prédiction de l'enquêteur.

La raison pour laquelle nous suivons des procédures scientifiques pour

extraire des artefacts et construire l'hypothèse est que nous avons besoin
d'une base scientifique pour vérifier et expliquer les résultats obtenus.

S'il n'y a aucun raisonnement scientifique pour expliquer une procédure

que vous avez effectuée, cela compromettra la crédibilité de
l'investigation et les preuves seront considérées comme peu fiables pour
être acceptées.

1.4.1 Cycle de vie des preuves numériques

Le cycle de vie des preuves numériques comprend trois phases

principales.

Il est conseillé de suivre ces phases pour garantir l'admissibilité des

preuves, quel que soit le type de preuve ou l'incident sur lequel vous
enquêtez.

 Acquisition
 Analyse
 Présentation

[Link] Acquisition

L'acquisition est le processus d'obtention d'une image numérique des

preuves à analyser. C'est une phase importante, car la validité des
preuves en dépend.

L’acquisition de preuves est importante car la validité des autres étapes

dépend de la validité de cette phase, ce qui signifie que la collecte de
preuves effectuée de manière incorrecte ou illégale entraînera des
preuves inacceptables dans d’autres étapes.

Il s'agit d'un problème crucial dans l'acquisition de preuves numériques,

car les preuves sont susceptibles d'être modifiées même par des actions
triviales.

Les preuves numériques sont fragiles par nature, et cette fragilité est ce
qui crée des défis pendant le processus d'enquête.

En raison de leur nature évolutive rapide, il est facile d'induire des

changements ou des altérations des preuves, intentionnellement ou non.

Ces changements peuvent survenir à n'importe quelle phase, depuis les

phases d'acquisition et de transfert jusqu'à la phase d'admission, lorsque
les preuves sont présentées.

Les changements peuvent être causés par n'importe qui, de l'attaquant

aux administrateurs système, en passant par les victimes et même un
enquêteur numérique lui-même.

Les enquêteurs doivent avoir l'expérience de base nécessaire pour traiter

les preuves numériques afin d'éviter leur destruction.

Les enquêteurs doivent également garantir que :

 La preuve est remise telle qu'elle a été trouvée.
 La preuve ne sera pas exposée à des altérations

Les étapes d'acquisition doivent être effectuées avec soin, car toute
mauvaise action ruinera les preuves et pourrait conduire à des résultats
complètement différents.

Par exemple, si l'enquêteur ouvre le fichier (uniquement pour le lire), cette

action affectera la propriété temporelle du fichier « temps », ce qui
modifiera l'heure du dernier accès au fichier.

Une chose importante à faire par l'enquêteur (premier intervenant) est de

sécuriser la scène de l'incident en éloignant les personnes des preuves
afin de s'assurer que personne n'est en contact avec elles.

De plus, s'il y a un appareil en marche, ils peuvent commencer par

prendre des photos et noter ce qui apparaît à l'écran.

De plus, le premier intervenant pourrait avoir besoin de créer une image

en direct de la RAM, car cela pourrait aider à déterminer quelle a été
exactement la dernière chose que le suspect a faite ou ce qui s'est passé
en dernier sur son ordinateur.

Si l'appareil est en marche, vous devez assurer la continuité de

l'alimentation électrique jusqu'à la création de l'image, car couper
l'alimentation pourrait entraîner la perte d'artefacts précieux.

Soyez prudent avec tout programme destructeur en cours d'exécution

(c'est-à-dire effectuant une opération d'effacement).

Dans une telle situation, la bonne chose à faire peut-être de couper

l'alimentation pour sauvegarder immédiatement les artefacts restants.

Si l'appareil était éteint, l'acquisition sera plus facile ; tout ce que

l'enquêteur aura à faire est de :

 Laisser l'appareil éteint

 Placer les preuves dans un conteneur
 Sceller le conteneur avec du ruban adhésif
 Écrire sur le ruban

REMARQUE : Écrire sur le ruban vous permet de remarquer rapidement si

quelqu'un a essayé d'ouvrir les preuves avant leur livraison au laboratoire
d'enquête.

Assurez-vous d'utiliser des conteneurs appropriés et sécurisés pour

sécuriser les preuves.
Étapes de dissimulation :

 Utilisez des conteneurs de sécurité numérique pour conserver les

preuves, tels que : des sacs antistatiques.
 Assurez-vous que ces conteneurs sont bien rembourrés.
 Écrivez des notes sur le ruban adhésif pour éviter toute altération des
preuves.
 Assurez-vous que les plages de température et d'humidité sont
adéquates pour toutes les preuves.

L'enquêteur doit documenter toutes les étapes de l'acquisition afin d'en

indiquer la solidité ; avant de poursuivre, l'enquêteur peut inspecter la
scène pour rechercher un mot de passe ou toute autre note importante.

Toutes les étapes mentionnées garantiront l'authenticité et la solidité des

preuves.

[Link] Analyse

Cette section vous donne les connaissances et les compétences

nécessaires pour interpréter les formes de preuves numériques et
physiques et les documenter dans un rapport.

Passons en revue les tâches courantes effectuées au cours de chaque

étape d'analyse.

1 - La chose la plus importante à prendre en compte est de préserver les

preuves originales sans altération. C'est pourquoi il est très important
qu'avant de commencer votre analyse, vous créiez une image numérique
des preuves et effectuiez votre analyse sur cette image.

2 - Il est très important de valider toutes vos étapes d'analyse pour

garantir vos résultats ultérieurement.

Tout comme la phase d'acquisition, la documentation est primordiale dans

la phase d'analyse ; vous devez documenter tous les outils utilisés lors de
l'analyse et les procédures que vous avez suivies.

CONSEIL : N'oubliez pas que le domaine de l’investigation numérique

évolue rapidement.

 Apprendre et se développer : Vous devez constamment développer vos

compétences, même s'il y aura toujours de nouveaux logiciels ou
appareils dans le domaine.
 Demander de l'aide : Si vous n'avez aucune expérience avec les
logiciels ou les appareils, la meilleure chose à faire est de demander
l'aide d'un expert.
Selon votre hypothèse, l'analyse forensic est menée pour générer l'un des
éléments suivants :

 Preuve à charge : soutient une hypothèse

 Preuve à décharge : contredit une hypothèse
 Preuve de falsification : indique une falsification du système dans le but
de tromper

[Link] Présentation

La dernière phase d'enquête est la présentation, où vous devez fournir :

 Un rapport des résultats de votre analyse, en mentionnant les

artefacts que vous avez trouvés,
 Les étapes que vous avez suivies pour révéler ces artefacts, et
 Les outils utilisés pour votre analyse.

Vous devez fournir une explication raisonnable de ces artefacts.

Ce que votre rapport doit inclure spécifiquement dépend principalement

de la partie qui a demandé l'enquête : tribunal, police, entreprise ou
même particuliers. Quelle que soit la personne qui a demandé l'enquête,
lorsque vous présentez les preuves, votre tâche exigera plus d'efforts pour
la présentation appropriée des preuves.

CONSEIL : La quantité et les types de preuves numériques que vous

devrez analyser varieront d'un cas à l'autre et dépendront de différents
critères tels que :

 Les preuves dont vous disposez,

 Si les preuves que vous avez trouvées vous mènent à d'autres indices,
 Dans les situations où il y a une grande quantité de données, vous
n'aurez besoin d'extraire que suffisamment d'artefacts pour incriminer
le suspect ou expliquer l'incident qui s'est produit.

1.4.2 Types et sources de preuves numériques

En raison de la croissance rapide de la technologie, il existe une liste

infinie de types et de sources de preuves numériques, et dans chaque
affaire dans laquelle vous êtes impliqué, il y aura différents types de
preuves.

Nous devons explorer les types et les sources de preuves numériques, car
ils détermineront l'outil que vous utiliserez ou créerez pour analyser vos
preuves.

Par exemple, pour analyser les artefacts du système d'exploitation

Windows, vous aurez besoin d'outils complètement différents des outils
Linux ou Mac OS.
De plus, les outils utilisés pour extraire des données de la mémoire varient
dans leur implémentation par rapport aux outils utilisés pour analyser les
disques durs.

[Link] Données actives

Commençons par les types de données, pourquoi ils sont utilisés et

comment vous pourriez en bénéficier.

Données actives

Ce type comprend toutes les données et tous les fichiers créés par le
système d'exploitation ou par un traitement de texte, un navigateur Web,
un client de messagerie ou un scanner, tels que les documents, les fichiers
en cache, les e-mails et les images.

[Link] Archivage et sauvegarde

Données d'archivage et de sauvegarde

Il s'agit de toutes les données organisées et conservées pour un stockage

à long terme afin d'éviter toute perte de données due à des attaques ou à
des catastrophes. Les données de sauvegarde sont créées en faisant une
copie identique des fichiers et dossiers d'origine. Le contenu d’un CD est
un exemple de données archivées ou de sauvegarde, ou de données
similaires stockées sur un stockage réseau (périphérique SAN).

[Link] Types de données cachés

Les types de données mentionnés sont apparents et accessibles à tous les

utilisateurs, mais leur opposé sont les types de données cachées.

Lors de votre analyse, les données cachées seront généralement plus

importantes et essentielles à examiner, surtout si le suspect dans votre
affaire a une bonne connaissance de l'utilisation de l'ordinateur.

Les types de données cachées comprennent les éléments suivants :

 Métadonnées
 Données résiduelles
 Données réplicatives

Métadonnées

Utilisées pour fournir un contexte ou des informations supplémentaires sur

les données et les fichiers, telles que la date de création du fichier ou des
informations sur la structure du fichier.
Les métadonnées sont considérées comme l'un des éléments de preuve
les plus précieux, car elles contiennent de nombreuses informations sur un
fichier, telles que le nom du propriétaire du fichier, ainsi que l'heure du
dernier accès et de la dernière modification du fichier.

Vous pourriez bénéficier d'informations de métadonnées dans votre

analyse pour prouver qu'un document a été créé sur l'appareil suspect s'il
n'a pas été altéré ou modifié.

Données résiduelles

Il s'agit de données supprimées sur le disque.

Il est important de savoir que même après la suppression des données, les
données « peuvent » toujours être sur le disque, mais vous ne pouvez tout
simplement pas les voir.

Cependant, si l'emplacement de stockage a été écrasé par de nouvelles

données (exemple : un nouveau fichier), il sera difficile de revenir aux
anciennes données qui s'y trouvaient.

Cela dit, il n'est pas difficile de récupérer des données résiduelles, tout ce
dont vous avez besoin est le bon outil. Il est important que vous
compreniez comment traiter ce type de données, car supprimer des
fichiers est la première chose que tout suspect pourrait faire ; après tout,
il/elle veut cacher ses actions incriminantes.

Exemples de données résiduelles :

 Cache Web
 Répertoires temporaires
 Blocs de données résultant d'un déplacement

Données réplicatives

Ce type de données est généré lorsqu'un programme comme un

traitement de texte crée une copie temporaire d'un fichier ouvert. Ceci est
nécessaire comme sauvegarde pour éviter la perte de données en cas
d'erreur et de fermeture forcée du fichier sans enregistrer les
modifications.

Les fichiers créés par les données réplicatives peuvent aider à découvrir
les dernières actions effectuées par le suspect, comme les derniers
documents imprimés.

L'importance de ces fichiers est qu'ils peuvent être récupérés même après
la suppression du fichier de document.

[Link] Volatilité
Volatilité

Le dernier point à prendre en compte concernant les types de données est

la nature volatile des données.

Il est essentiel d'en tenir compte avant de commencer une enquête sur les
données numériques, car cela détermine les données à collecter en
premier pour éviter de perdre des artefacts numériques.

Ces types sont :

 Données non volatiles

 Données volatiles
Données non volatiles

Tous les types mentionnés précédemment sont considérés comme des

données non volatiles et peuvent être récupérés même si l'ordinateur a
été éteint.

Données volatiles

Les données qui résident dans la RAM et qui sont acquises uniquement
lorsque l'appareil est en fonctionnement. La collecte de données volatiles
est une tâche périlleuse, en raison de leur nature changeante et si
l'alimentation est coupée, nous perdrons toutes ces données.

[Link] Appareils

Vous pouvez trouver tous les types de données mentionnés dans un

certain nombre d'appareils différents. Nous pouvons donc dire que votre
enquête peut impliquer tout appareil capable de stocker des données
numériques, et celles-ci pourraient être classées, sans s'y limiter :

 Fichiers image
 Fichiers cachés
 Outils d'accès à distance connus
 Applications logicielles
 Fichiers cryptés
 Partitions cachées
 Fichiers supprimés
 Recherche par mot-clé

Systèmes informatiques

 Ordinateurs de bureau, ordinateurs portables, etc.

 C'est la source la plus riche d'artefacts et elle contient des informations
précieuses sur le suspect et ses activités. Vous pouvez trouver
 différents types d'artefacts tels que des courriels, des journaux de
discussion et des informations financières.

Périphériques de stockage

Ces périphériques diffèrent par leur taille et leur façon de traiter et de

stocker les données. Ces périphériques peuvent contenir des artefacts
précieux pour l'analyse.

Support amovible

Tout type de périphérique de stockage pouvant être retiré pendant que le

système est en cours d'exécution, comme un CD. Ces périphériques sont
utilisés par les utilisateurs pour stocker des informations ou des
applications.

Clés USB

Ces petits périphériques de stockage peuvent être facilement cachés et

transportés, ils peuvent donc être utilisés par un suspect pour cacher des
fichiers importants.

Cartes mémoire

Ces cartes sont présentes dans de nombreux appareils, tels que les
appareils photo numériques et les téléphones portables. Malgré leur petite
taille, ces cartes peuvent contenir une grande quantité de données, telles
que des images et d'autres fichiers.

Appareils portables

Ces appareils sont des amis proches pour la plupart des gens ; ils peuvent
vous donner de nombreux détails sur votre suspect, car ils peuvent
stocker des données, des images, des informations du système de
positionnement global (GPS) et d'autres informations précieuses.

Périphériques de sortie

Ces appareils peuvent être utiles pour retrouver la dernière chose que le
suspect a faite.

Par exemple, si vous trouvez une imprimante, vous pourriez savoir quels
documents ont été imprimés récemment, et il en va de même pour
d'autres appareils, notamment un scanner, un fax, etc.

Réseaux informatiques

Le réseau contient la plus grande quantité de données que vous puissiez

analyser. Lorsque votre cas concerne une entreprise ou une grande
organisation, votre enquête peut inclure des périphériques réseau. Ces
périphériques, tels que les serveurs de noms faisant autorité, fourniront
des informations précieuses telles que l'adresse IP, qui pourraient être
utilisées pour relier un incident à un périphérique suspect.

Stockage caché

Un exemple de ces dispositifs est une puce cachée dans un câble USB ou
un bloc d'alimentation contenant une caméra cachée. Ces types de
preuves sont difficiles à remarquer à moins que vous ne réalisiez leur
existence, et elles contiennent certainement des artefacts importants.

Vous pouvez trouver des preuves inattendues à l'intérieur d'appareils

numériques. Par exemple, même si les appareils iPod ne sont utilisés que
pour écouter de la musique, vous pouvez trouver des fichiers de
documents stockés dessus.

Comme vous pouvez le constater, dans chaque cas, il y aura différents

appareils à traiter, mais quel que soit l'appareil impliqué dans l'affaire sur
laquelle vous enquêtez, vous devez savoir comment traiter ce type de
preuves et les données qu'il contient.

Vous devez également savoir exactement comment cet appareil

fonctionne, comment les données y sont stockées et traitées et, surtout,
vous assurer que l'outil que vous utilisez vous donnera les résultats que
vous recherchez.

Dans les cas où vous rencontrez des preuves que vous ne connaissez pas,
vous devez faire appel à un expert pour vous aider à compléter l'analyse
afin d'éviter des procédures erronées qui entraînent une perte de données
ou le rejet de preuves.

Les preuves numériques doivent avoir les caractéristiques suivantes :

 Admissibilité : acceptées par la partie qui a fait la demande

 Authenticité : pertinentes pour l'affaire
 Complètes : aucune information manquante.

1.5 Étapes d'analyse

L'analyse d’investigation numérique est définie comme une méthode

scientifique qui commence par rassembler des faits à partir des preuves
dont vous disposez, en construisant une hypothèse pour expliquer un
incident et en extrayant des artefacts pour prouver ou réfuter cette
hypothèse.

La méthode scientifique est une approche générique utilisée dans la

plupart des domaines et ne se limite pas à l’investigation numérique.
Dans cette section, nous allons passer en revue les meilleures pratiques et
les points clés que les enquêteurs doivent prendre en considération lors de
la conduite de leur enquête et de l'application de la méthode scientifique.

Préparez votre analyse Forensics

Dans tous les cas, vous devez préparer un nouveau périphérique spécial
(stockage) pour votre analyse.

Certains appareils numériques nécessiteront un traitement spécial.

Par exemple, si vous devez analyser un appareil sans fil, cet appareil doit
être isolé de l'environnement pour éviter une nouvelle connexion qui
altérerait les preuves en raison des nouveaux paquets de données entrant
et sortant de l'appareil.

L'analyse numérique commence par rassembler des observations à partir

des preuves dont vous disposez, en construisant une hypothèse qui
explique ce qui a causé les preuves et par qui pour obtenir une
compréhension de l'ensemble du cas.

Votre analyse peut inclure la récupération de fichiers supprimés, la

spécification de l'heure de création et l'établissement d'un lien avec un
suspect.

De plus, les preuves que vous trouvez pourraient vous conduire à d'autres
preuves provenant de différentes sources.

Par exemple, la lecture d'un e-mail suspect peut indiquer l'existence

d'informations importantes qui ont été envoyées au suspect sur CD, ou
l'analyseur doit rechercher sur Internet des preuves telles que des
conversations entre le suspect et la victime.

Pour préparer l'analyse, voici les exigences de base avant de commencer :

1. Un poste de travail exécutant un système d'exploitation

2. Un dispositif de blocage d'écriture
3. Outil(s) d'acquisition d'investigation numérique

4. Outil(s) d'analyse d'investigation numérique

5. Lecteur cible pour recevoir les données du disque source ou suspect
 Ports PATA ou SATA de rechange
 Ports USB

Les étapes d'analyse courantes dans la plupart des cas sont les suivantes
(même si elles ne sont pas les mêmes dans chaque cas où vous pourriez
utiliser d'autres étapes et techniques) :

1. Création d'une image Forensics :

 Commencez par créer une image Forensics, qui doit être un duplicata
de la preuve ; un duplicata signifie qu'il s'agit d'une copie bit par bit.

 Les secteurs alloués, non alloués et libres de la preuve source doivent

être copiés sur le périphérique de stockage

Avant de joindre les preuves à copier, vous devez vous assurer que les
preuves sont connectées à un bloqueur d'écriture (un dispositif qui bloque
toutes les opérations d'écriture sur le support acquis) ; si un tel dispositif
n'est pas disponible (exemple : peut-être trop cher), vous devez installer le
logiciel approprié pour permettre uniquement la lecture et la visualisation
des données et empêcher l'altération des preuves.

Il ne s’agit pas toujours de trouver des preuves, dans certains cas, le

manque de preuves est la base de notre hypothèse (ou de notre cas).

2. Vérification de l'image :

 Après avoir terminé la copie, vous devez créer une signature de

hachage pour la preuve originale et sa copie, puis comparer les deux
hachages pour vous assurer que la copie est une copie exacte de la
preuve.

 Vous pouvez également (ce qui est mieux) créer une autre image et la
conserver comme archive pour une analyse plus approfondie. Cela vous
sera utile au cas où l'on vous demanderait de fournir d'autres artefacts.

3. Conservation des preuves :

 Après cela, vous pouvez remettre les preuves originales dans leur
conteneur, dans un endroit sûr, à l'abri de l'humidité, de la température
et d'autres influences.

 Afin de réduire le temps d'analyse, vous pouvez réduire la taille des

données à analyser, essayer de supprimer les données non pertinentes,
telles que les données du système d'exploitation, les événements qui
se situent en dehors de la période d'intérêt, etc.

4. Analyse :

Cette étape comprend plusieurs techniques qui dépendent du type de cas

traité par l'enquêteur.

5. Validation de l'analyse :

Tout artefact que vous extrayez pendant l'analyse doit être validé pour
garantir sa fiabilité ; par exemple, si vous avez réussi à récupérer un
fichier supprimé, vous devez être sûr qu'il est exact et qu'aucune
altération n'a eu lieu.

De plus, vous devez vous assurer qu’il n’a pas été falsifié
intentionnellement ; par exemple, avant de vous fier à l’heure et à la date
associées au fichier pour déterminer l’heure de l’incident, vous devez vous
assurer que le suspect n’a pas modifié la date du système.

Il n'est pas difficile, même pour une personne non technique, de

programmer un ordinateur pour envoyer un e-mail depuis son ordinateur
personnel à un moment précis, alors qu'elle se trouve ailleurs ; il convient
donc de le vérifier au préalable, en l'utilisant comme un artefact pour
déterminer l'emplacement suspect.

Vous devez également vous assurer que les résultats de votre analyse
sont répétables et reproductibles, ce qui signifie que le même résultat
sera produit lorsque les preuves seront testées à nouveau dans le même
laboratoire ou dans un laboratoire différent, en utilisant les mêmes outils
et équipements ou des outils et équipements différents.

1.6 Portée de l'enquête

Tous les cas ne sont pas identiques, ce qui signifie que différents types de
cas nécessiteront différents types d'enquêtes.

Différents types d'enquêtes ont également des règles et des niveaux de

rigueur différents.

Enquête interne :

Une enquête menée au sein d'une organisation, portant sur des menaces
ou des incidents internes, peut également constituer une violation de la
politique des employés.

Un enquêteur doit généralement suivre les directives et les politiques de

l'organisation à toutes les étapes de l'enquête.

Exemples de cas nécessitant des enquêtes internes : fraude, exfiltration

de données et harcèlement sexuel sur le lieu de travail.

Enquête civile :

Il s'agit d'une enquête menée pour recueillir des données sur une affaire
concernant la sécurité des actifs de l'organisation, tels que : le réseau
interne, les droits d'auteur et d'autres ressources.

Il est préférable qu'un enquêteur qui mène de telles enquêtes ait une
formation en droit.
Voici des exemples de ce que les enquêtes civiles tentent de résoudre :
Accès illégaux et violations, Attaques DOS, Attaques de logiciels
malveillants.

Les enquêtes civiles sont généralement plus difficiles à mener, surtout au

sein des grandes organisations en raison de leur taille et de leur
complexité.

Par exemple, dans de nombreuses situations, l'ensemble de l'affaire peut

dépendre de la capacité de l'enquêteur à prouver qu'un certain utilisateur
était connecté au système à un moment donné.

Ainsi, les outils utilisés dans ce type d'enquêtes sont généralement plus
sophistiqués et plus coûteux.

1.7 Reconstitution de crime

Discipline des sciences d’investigation numérique dans laquelle on

acquiert « une connaissance explicite de la série d'événements qui
entourent la commission d'un crime en utilisant le raisonnement déductif
et inductif, les preuves matérielles, les méthodes scientifiques et leurs
interrelations ».

Lors de la reconstitution d'un crime, l'enquêteur rassemble toutes les

preuves et tous les faits recueillis afin d'obtenir une image complète de ce
qui s'est passé.

Une « image complète » comprend les lieux, les appareils et les

événements, ainsi que la manière, le moment et la raison de leur
utilisation, et le lien entre eux et le crime.

Déduire l'existence d'une relation entre deux éléments de preuve ou entre

une preuve numérique et un lieu ou une machine est appelé « analyse
relationnelle ».

Savoir comment un élément de preuve a été utilisé ou fonctionne est

appelé « analyse fonctionnelle ».

Enfin, relier les événements entre eux pour obtenir la chronologie des
événements survenus est ce que nous appelons « l'analyse temporelle ».

Une autre technique utilisée par les enquêteurs pour prouver ou

désapprouver une hypothèse est la comparaison de même origine.

C'est là que les enquêteurs tentent de prouver ou réfuter que deux

éléments de preuve proviennent ou ne proviennent pas de la même
origine.
Ces éléments de preuve peuvent être des images que nous souhaitons
examiner pour déterminer si elles ont été prises par le même appareil
photo mobile ou numérique ou non. Ou encore, des documents dont nous
voulons savoir s'ils ont été créés à l'aide du même ordinateur ou non.

Notez que la même origine n'est pas le seul type de relation qu'un
enquêteur doit prouver.

Parfois, l'affaire nécessite d'examiner si deux pièces ont été altérées ou

modifiées à l'aide du même outil, par exemple.

Pour chaque cas, vous devez suivre des étapes raisonnables afin de le
résoudre :

1. Déterminez le type de cas sur lequel vous enquêtez.

2. Suivez une approche scientifique pour résoudre les cas.

3. Rédigez une liste de contrôle détaillée des ressources nécessaires.

4. Obtenez, copiez et conservez les preuves.

1.8 Concepts majeurs

Cette section couvre les principaux concepts liés à la l’investigation

numérique que tout enquêteur doit comprendre.

Contamination :

Dans un laboratoire de physique, placer une substance chimique dans un

récipient contenant des résidus d'autres substances entraînera le mélange
des substances, les rendant ainsi corrompues et invalides en tant que
preuve.

La même chose pourrait se produire avec les preuves numériques ; lors de

la création d’une image des preuves, assurez-vous que le périphérique de
stockage que vous utilisez pour copier les preuves est neuf ou effacé pour
éviter le mélange de preuves provenant de différents cas, tout comme ce
qui se passe avec les matériaux chimiques.

La copie de nouvelles données sur un disque dur qui contient déjà d'autres
données peut entraîner l'analyse des anciennes données comme faisant
partie des nouvelles données, même si les anciennes données ont été
effacées.

La contamination peut également résulter d’une documentation incorrecte

des preuves ; dans le cas où des données ont été collectées à partir
d’appareils similaires, une documentation incorrecte rend difficile la mise
en relation des preuves avec l’appareil.
Un enquêteur doit prendre en considération un certain nombre de facteurs
lors de la recherche, de la découverte, du stockage, de l'examen et de la
présentation des preuves.

Pour qu'une preuve soit admissible, elle doit être pertinente, fiable et
compétente.

Pour qu'une preuve soit pertinente, elle doit prouver ou réfuter une
hypothèse liée à l'affaire en question.

Et, pour qu'elle soit fiable, la partie qui présente la preuve doit prouver son
authenticité et son objectivité.

L'authenticité des preuves numériques est généralement prouvée en

présentant la chaîne de possession depuis la première personne qui a
recueilli la preuve jusqu'à la personne qui la présente.

Et pour que la preuve soit objective, il faut qu'elle soit un fait prouvé, car
les opinions personnelles et les affirmations qui ne peuvent être prouvées
ou désapprouvées ne constituent pas une preuve.

Pour que la preuve soit pertinente, elle doit avoir été obtenue par des
moyens légaux.

Elle ne doit pas non plus violer la confidentialité d'une information

protégée par la loi ou la constitution.

La plupart des points mentionnés précédemment sont des questions

juridiques.

D'un point de vue technique, le point le plus crucial pour l'admissibilité des
preuves est l'authenticité.

L'acceptation des preuves par la partie qui en fait la demande dépend de :

 La crédibilité de la méthode scientifique utilisée dans l'analyse

 Les qualifications/l'expertise de l'enquêteur
 La reproductibilité : répéter l'analyse donne le même résultat

Chaîne de possession

Il s'agit d'un formulaire utilisé pour suivre les preuves depuis leur
acquisition jusqu'à la fin de l'analyse.

La chaîne de possession contient des informations telles que :

 Quelle est la preuve ?

  Comment la preuve a-t-elle été acquise ?
 Quand la preuve a-t-elle été acquise ?
 Qui a acquis la preuve ?
 Où la preuve a-t-elle été stockée ?
 Et toute autre action effectuée sur la preuve

Lors de la lecture de preuves numériques, l'outil nous indique quel artefact

il possède ; nous ne voyons jamais les données réelles à prime abord, ce
que nous voyons, c'est la représentation des données par l'outil.

Les preuves ne mentent jamais, et c'est vrai, mais avez-vous confiance en

l'outil dont vous disposez pour vous raconter la bonne histoire ?

Êtes-vous sûr que l'outil dont vous disposez ne présente aucun bug et
fonctionne correctement dans tous les cas ?

Bien évidemment les outils ne nous diront pas toujours la vérité.

Ce n'est pas à cause de procédures erronées, mais à cause du problème

de la couche d'abstraction.

Une mauvaise compréhension des fonctionnalités de l'ordinateur ou de la

manière dont les outils appliquent une couche d'abstraction pour traiter
les données rendra difficile la compréhension des résultats de votre
analyse et des artefacts dont vous disposez, ce qui rendra difficile
l'explication des résultats ou une interprétation incorrecte des preuves.

Couche d'abstraction

Les problèmes de couche d'abstraction proviennent du fait que les

données réelles sont stockées dans des appareils numériques dans leur
format brut (bits), ce qui est très difficile à lire pour les humains. C'est
pourquoi nous utilisons des outils pour interpréter ces données brutes
dans une structure facilement lisible par les humains.

Pour éviter ce problème, lorsque vous choisissez ou allez créer un outil,

vous devez comprendre l’entrée, la sortie et l’ensemble de règles utilisées
dans la couche d’abstraction utilisée par cet outil.

L'analyseur de paquets est un exemple d'outil qui utilise une couche

d'abstraction pour représenter les données.

Au niveau brut, les paquets sont transmis sous forme de séquence de bits
en appliquant la couche d'abstraction des normes de protocole réseau ;
l'analyseur de paquets traduit ces bits dans la valeur de leur champ
correspondant pour former à nouveau des paquets.

Habituellement, les utilisateurs d'ordinateurs ne traitent pas les données

physiques. Autrement dit, ils ne regardent pas les impulsions électriques
sur les câbles ni n'examinent directement les bits physiques du plateau du
disque dur.

Au lieu de cela, ils traitent la couche de présentation fournie par le

système d'exploitation.

Les enquêteurs doivent gérer à la fois la représentation des données

présentée par les outils qu'ils utilisent, qui est basée sur la couche de
présentation fournie par le système d'exploitation, et la couche physique
que le système d'exploitation encapsule généralement auprès des
utilisateurs.

L'entrée d'une couche d'abstraction est constituée des données brutes et

des règles de traduction qui décrivent la structure des données ou la
manière de traiter ces données.

La couche d'abstraction utilise les règles de traduction données pour

interpréter les données sous d'autres formes. Les données de sortie de la
couche d'abstraction peuvent devenir une entrée pour une autre couche
d'abstraction ou être le résultat final selon le type de données traitées.

De plus, chaque couche d'abstraction entraînera une marge d'erreur ou de

distorsion.

Sur le disque, le fichier est une série de zéros et de uns, et en appliquant

la couche d'abstraction ASCII, chaque groupe de bits consécutifs est
traduit en son caractère correspondant, et le fichier texte est visualisé
comme une série de lettres, de chiffres et de symboles.

Si la sortie de la couche ASCII était un document HTML, elle serait alors

considérée comme une première couche, et le document HTML pourrait
ensuite être transmis à une deuxième couche, telle qu'un navigateur Web,
qui utilise le document et les spécifications HTML pour produire un
document formaté.

Le problème de traduction de la couche d'abstraction peut résulter

d'erreurs de programmation ou de l'utilisation d'un ensemble de règles
incorrect.

Par exemple, si l'analyste recherchait un fichier JPG à l'aide d'un outil

fonctionnel, la recherche de l'extension du fichier ne sera pas suffisante,
car il est facile pour le suspect de modifier l'extension d'un fichier.

Pour atténuer les erreurs résultant de la traduction de la couche

d'abstraction, vous devez utiliser plusieurs outils pour vérifier les résultats
de l'analyse.

Pour de nombreuses raisons, telles que des bugs logiciels ou une

mauvaise compréhension de la technologie sous-jacente par les
développeurs, les outils peuvent souffrir de bugs qui affectent la précision
des résultats qu'ils présentent.

C'est pourquoi il est toujours recommandé d'exécuter plusieurs outils pour

vérifier la cohérence de la sortie.

Vous ne pouvez pas utiliser la même solution d'enquête numérique pour

chaque cas. Chaque cas présente et nécessitera des étapes différentes et
dépendra de la mentalité de votre suspect et de ses compétences
informatiques.

Vous devez être conscient des nouvelles techniques et méthodes que les
suspects peuvent utiliser.

Conclusion

Vous devriez maintenant être capable d'identifier les types et sources

pertinents de preuves numériques, savoir comment ne compter que sur
les faits et mener des procédures scientifiques lors de l'analyse Forensics,
connaître les problèmes que vous pouvez rencontrer et savoir comment
tirer parti des outils d'analyse.