Forensic

1. Artefacts Windows

Afin d’éviter de transformer cet ouvrage en guide complet sur le forensic ou de servir de doublon aux ouvrages de référence, nous survolerons seulement les artefacts les plus courants des systèmes Windows. 

Pour savoir quoi :

2. Bonnes pratiques et cadre légal

Il est possible de trouver sur le site de l’IETF le document de référence, RFC3227 (https://www.ietf.org/rfc/rfc3227.txt). Ce document définit les bonnes pratiques ainsi que les comportements à éviter pour l’acquisition, la transmission et le traitement des preuves informatiques.

Voyons tout d’abord les précautions à prendre :

Afin d’éviter de supprimer certaines preuves en en collectant d’autres, nous suivrons l’ordre...

1. Préparation et environnement

Il est important de noter que dans le cadre de notre apprentissage à travers ce chapitre nous n’aurons pas besoin d’un laboratoire aux normes antistatiques, ou de bloqueurs en écriture et autres équipements sophistiqués que vous trouverez dans un usage professionnel.

Avant d’entamer la recherche d’éléments, l’analyste devra au mieux « préparer le terrain ». Il est important de commencer par une analyse macroscopique (globale) avant de descendre progressivement vers l’analyse microscopique (système).

Avoir une vue d’ensemble d’un système permet par la suite de mieux cibler les éléments. Prenons un exemple. Vous êtes appelé par une compagnie internationale qui vient de subir une attaque de type DoS et qui souhaite en trouver la cause (ceci est bien une analyse que nous pouvons qualifier de forensic, car elle cherche des preuves, même si ce n’est pas pour inculper directement un auteur de délit) et éventuellement en trouver la source. Dans ce cas concret, vous comprendrez aisément que l’analyse directe du simple serveur web qui a été rendu indisponible par l’attaque ne vous donnera pas suffisamment d’éléments pour mener à bien votre investigation.

Aussi, il vous sera utile de commencer par « la source », bien souvent les logs du pare-feu, qui vous permettront d’établir quel type de DoS a été utilisé pour mener l’attaque (SYN flood, DNS amplification) ou bien de vous rendre rapidement compte si le serveur a été victime d’une attaque locale (fork bomb, saturation d’inodes).

S’il s’agit d’une attaque réseau, c’est alors vers les pare-feu et les routeurs que vos investigations devront porter en premier lieu. Vous déterminerez alors le protocole et le port qui ont été utilisés. Une fois ceci fait, si vous en avez la possibilité, vous pourrez alors étudier les logs portant sur ces informations, puis une analyse d’une capture « pcap » pourra également être menée. Vous voyez bien que cet exemple illustre parfaitement la « descente en profondeur »...