[Forensics - Partie 1] Introduction aux techniques forensics

Par Lexfo formations, lexfo.fr
Le 02/08/2007

---

Résumé : Le terme Forensics se rapporte à l'ensemble des techniques utilisées pour les recherches effectuées sur une machine suite à une intrusion et cela afin d'en isoler les causes et les conséquences. - Lire l'article



Le terme anglais Forensics (lien ) désigne les recherches effectuées sur une machine suite à sa compromission par exemple, afin d'en déterminer les causes et de juger de l'étendue des dommages.

Une définition plus formelle pourrait être :

- l'action d'acquérir, de recouvrer, de préserver, et de présenter des informations traitées par le système d'information et stockées sur des supports informatiques.


Ces investigations suivent généralement 3 grandes étapes :

- l'acquisition de données

Cette étape consiste à récupérer les données d'une machine dans le but de les analyser. Il faut évidemment éviter toute modification du système et des informations elles-mêmes. L'approche sera différente suivant que le système est en cours d'exécution ou arrêté.

Trois types de collecte peuvent alors être détaillés, à savoir le "dead" forensics (analyse de disque), le "live" forensics (analyse du système opérationnel) et le "mixed" forensics (collecte et analyse de la mémoire physique).


- le recouvrement de données

Un fichier effacé sur un disque dur l'est rarement de façon sécurisée. Les informations concernant ce fichier y restent souvent physiquement. Il est donc généralement possible de recouvrer ces fichiers à partir de l'image d'un disque dur.

On emploiera par exemple la technique dite "file carving" ( lien ) qui consiste à faire une recherche sur l'image disque par rapport au type des fichiers.


- l'analyse de données

Une fois les données récupérées, il faut les analyser ; la facilité de l'analyse est étroitement liée aux compétences du pirate.

Certains ne tenteront pas de se dissimuler, laissant des traces voyantes un peu partout sur le système (dans les journaux systèmes, les fichiers de traces applicatives, etc …).

D'autres auront pris soin d'effacer un maximum d'éléments pouvant trahir leur présence ou leur identité jusqu'à ne rien écrire sur le disque (intrusion par Meterpreter par exemple - lien ).


Autres ressources dans ce dossier :

[Forensics - Partie 2] Exemple d'analyse sous Windows (1) - lien

[Forensics - Partie 3] Exemple d'analyse sous Windows (2) - lien