1. À propos de l'analyse forensique
L'analyse forensique, également appelée informatique légale, investigation numérique ou digital forensics, regroupe les méthodes permettant d'identifier, de collecter, de préserver et d'analyser des preuves numériques liées à un incident.
En cybersécurité, elle intervient notamment après une intrusion, une infection par un malware, une compromission de compte, une fuite de données ou une activité suspecte observée sur un système informatique.
L'objectif n'est pas uniquement de déterminer qu'un incident s'est produit. L'analyste cherche également à comprendre quand l'incident a commencé, comment il s'est produit, quels systèmes ont été affectés, quelles actions ont été réalisées et quelles données ont éventuellement été compromises.
Questions auxquelles répond une analyse forensique
- Que s'est-il passé ?
- Quand l'incident a-t-il commencé ?
- Quels systèmes ont été affectés ?
- Quels comptes ont été utilisés ?
- Quels fichiers ont été créés, modifiés ou supprimés ?
- Quelles connexions réseau ont été établies ?
- Comment l'attaquant a-t-il obtenu l'accès ?
- Des données ont-elles été consultées ou exfiltrées ?
- Existe-t-il encore un mécanisme de persistance ?
Les principales branches de l'analyse forensique
L'investigation numérique couvre plusieurs domaines spécialisés selon la nature de l'incident et les équipements concernés.
- Disk Forensics : analyse des disques et systèmes de fichiers ;
- Memory Forensics : analyse de la mémoire vive ;
- Network Forensics : analyse du trafic et des traces réseau ;
- Mobile Forensics : analyse des smartphones et tablettes ;
- Cloud Forensics : investigation sur les environnements cloud ;
- Malware Forensics : étude des traces laissées par les logiciels malveillants ;
- Log Forensics : analyse des journaux générés par les systèmes et applications.
L'analyse forensique doit être réalisée selon une méthodologie rigoureuse, car une mauvaise manipulation peut modifier ou détruire des informations importantes.
2. Collecte et préservation des preuves numériques
La preuve numérique est toute information numérique susceptible d'aider à comprendre un incident. Elle peut provenir d'un ordinateur, d'un serveur, d'un smartphone, d'un équipement réseau, d'une application ou d'un service distant.
Exemples de preuves numériques
- fichiers présents sur un disque ;
- fichiers supprimés récupérables ;
- journaux système ;
- journaux d'authentification ;
- historique du navigateur ;
- messages électroniques ;
- métadonnées des fichiers ;
- captures réseau ;
- mémoire vive ;
- informations relatives aux processus ;
- empreintes cryptographiques ;
- journaux des pare-feu et serveurs.
Préserver l'intégrité des preuves
L'un des principes fondamentaux de l'analyse forensique consiste à préserver l'intégrité des données collectées. L'analyste doit pouvoir démontrer que les données examinées n'ont pas été modifiées pendant l'investigation.
Lorsque cela est approprié, l'analyse est réalisée sur une copie forensique plutôt que directement sur le support original. L'original est conservé afin de limiter les modifications accidentelles.
Calculer une empreinte SHA-256
Une fonction de hachage permet de calculer une empreinte à partir du contenu d'un fichier. L'empreinte peut être calculée avant et après une copie afin de vérifier que le contenu analysé est identique. Le programme Python suivant calcule l'empreinte SHA-256 d'un fichier nommé preuve.txt.
1 2 3 4 5 6 7 8 9 10 | import hashlib nom_fichier = "preuve.txt" sha256 = hashlib.sha256() with open(nom_fichier, "rb") as fichier: while True: bloc = fichier.read(4096) if not bloc: break sha256.update(bloc) print("SHA-256 :", sha256.hexdigest()) |
Sortie :
1 | SHA-256 : 2d711642b726b04401627ca9fbac32f5c8530fb1 |
La valeur affichée ci-dessus est illustrative. Une modification du contenu du fichier entraîne normalement une empreinte différente.
Chaîne de conservation
La chaîne de conservation, ou chain of custody, documente la manière dont une preuve a été collectée, transférée, stockée et analysée.
Elle peut notamment enregistrer :
- l'identifiant de la preuve ;
- la date et l'heure de collecte ;
- la personne ayant réalisé la collecte ;
- l'origine de la preuve ;
- l'empreinte cryptographique ;
- les personnes ayant eu accès à la preuve ;
- les opérations réalisées sur celle-ci ;
- les conditions de stockage.
Cette traçabilité est particulièrement importante lorsque les résultats de l'investigation peuvent être utilisés dans un contexte disciplinaire, contractuel, réglementaire ou judiciaire.
3. Analyse des disques, fichiers et métadonnées
Une partie importante de l'analyse forensique consiste à examiner les supports de stockage et les fichiers afin d'identifier les traces laissées avant, pendant et après un incident.
Analyse du système de fichiers
L'analyste peut rechercher les fichiers récemment créés ou modifiés, les programmes inhabituels, les fichiers temporaires, les archives, les scripts et d'autres éléments susceptibles d'être liés à l'incident.
Selon le système de fichiers et les circonstances, certains outils forensiques peuvent également aider à retrouver des informations relatives à des fichiers supprimés.
Examiner les métadonnées d'un fichier
Les métadonnées fournissent des informations sur un fichier telles que sa taille et certains horodatages. Le programme Python suivant examine les métadonnées d'un fichier pédagogique nommé document.txt.
1 2 3 4 5 6 7 | import os from datetime import datetime nom_fichier = "document.txt" infos = os.stat(nom_fichier) print("Taille :", infos.st_size, "octets") print("Dernière modification :", datetime.fromtimestamp(infos.st_mtime)) print("Dernier accès :", datetime.fromtimestamp(infos.st_atime)) |
Sortie :
1 2 3 | Taille : 1280 octets Dernière modification : 2026-10-31 14:32:15 Dernier accès : 2026-10-31 15:04:28 |
Les valeurs sont données à titre d'exemple. Les horodatages disponibles et leur signification précise dépendent notamment du système d'exploitation et du système de fichiers.
Rechercher des fichiers selon leur extension
Lors d'une investigation sur une copie de travail autorisée, il peut être utile de dresser l'inventaire de certains types de fichiers. Le programme suivant recherche récursivement les fichiers portant les extensions .txt, .log et .csv dans un répertoire de laboratoire.
1 2 3 4 5 6 7 8 | import os repertoire = "investigation" extensions = (".txt", ".log", ".csv") for racine, dossiers, fichiers in os.walk(repertoire): for fichier in fichiers: if fichier.lower().endswith(extensions): chemin = os.path.join(racine, fichier) print(chemin) |
Sortie :
1 2 3 4 | investigation\documents\rapport.txt investigation\logs\systeme.log investigation\logs\connexion.log investigation\donnees\export.csv |
L'existence d'un fichier ne constitue pas à elle seule une preuve d'activité malveillante. L'analyste doit mettre les informations en relation avec les autres éléments de l'enquête.
Recherche par empreinte
Lorsqu'une empreinte associée à un fichier pertinent est connue, elle peut être comparée aux empreintes calculées sur les fichiers présents dans le jeu de données analysé. Cette approche peut contribuer à identifier une copie exacte d'un fichier déjà répertorié.
4. Analyse des journaux et construction d'une chronologie
Les journaux, également appelés logs, constituent une source essentielle d'informations pour les investigations numériques. Ils enregistrent différents événements produits par les systèmes, applications et équipements réseau.
Sources de journaux
- journaux Windows ;
- journaux Linux ;
- serveurs Web ;
- serveurs d'authentification ;
- pare-feu ;
- VPN ;
- applications ;
- services cloud ;
- solutions de sécurité ;
- équipements réseau.
Analyser un journal d'authentification
L'exemple suivant utilise un journal fictif afin de compter le nombre d'échecs d'authentification associés à chaque utilisateur. Ce traitement permet d'illustrer comment Python peut aider l'analyste à synthétiser un grand nombre d'événements.
1 2 3 4 5 6 7 8 9 10 11 12 13 | evenements = [ ("admin", "ECHEC"), ("younes", "SUCCES"), ("admin", "ECHEC"), ("admin", "ECHEC"), ("professeur", "SUCCES") ] echecs = {} for utilisateur, resultat in evenements: if resultat == "ECHEC": echecs[utilisateur] = echecs.get(utilisateur, 0) + 1 for utilisateur, nombre in echecs.items(): print(utilisateur, ":", nombre, "échec(s)") |
Sortie :
1 | admin : 3 échec(s) |
Plusieurs échecs successifs peuvent mériter une investigation, mais ils ne prouvent pas nécessairement une attaque. Un utilisateur peut simplement avoir oublié son mot de passe.
Construire une chronologie
La construction d'une timeline consiste à classer les événements par ordre chronologique afin de reconstituer le déroulement de l'incident.
Supposons que plusieurs sources fournissent des événements différents. Le programme suivant classe des événements fictifs selon leur heure.
1 2 3 4 5 6 7 8 9 10 | evenements = [ ("10:14:52", "Connexion utilisateur"), ("10:18:07", "Création d'un fichier"), ("10:15:21", "Démarrage d'un processus"), ("10:20:33", "Connexion réseau"), ("10:22:10", "Modification d'un fichier") ] evenements.sort() for heure, evenement in evenements: print(heure, "-", evenement) |
Sortie :
1 2 3 4 5 | 10:14:52 - Connexion utilisateur 10:15:21 - Démarrage d'un processus 10:18:07 - Création d'un fichier 10:20:33 - Connexion réseau 10:22:10 - Modification d'un fichier |
Cette chronologie permet à l'analyste de formuler des hypothèses sur l'enchaînement des événements. Dans une investigation réelle, les dates complètes, fuseaux horaires et éventuels décalages d'horloge doivent être pris en compte avec soin.
Corrélation des événements
La corrélation consiste à comparer les événements provenant de plusieurs sources. Une connexion enregistrée par un serveur peut par exemple être rapprochée d'un événement d'authentification, d'un processus lancé quelques secondes plus tard et d'une connexion réseau observée par le pare-feu.
Cette approche permet de reconstruire progressivement le scénario de l'incident au lieu d'étudier chaque trace séparément.
5. Outils et méthodologie d'une investigation forensique
Une investigation numérique peut nécessiter plusieurs outils spécialisés. Le choix dépend des systèmes étudiés, des données disponibles et des objectifs de l'enquête.
Autopsy
Autopsy est une plateforme d'analyse forensique permettant notamment d'examiner des images de disques et différents artefacts numériques à travers une interface graphique.
The Sleuth Kit
The Sleuth Kit est un ensemble d'outils d'analyse forensique principalement consacré aux systèmes de fichiers et aux images de stockage. Il constitue également la base de certaines fonctionnalités utilisées par Autopsy.
Volatility
Volatility est un framework utilisé pour l'analyse de mémoire. L'étude d'une capture de mémoire vive peut notamment fournir des informations sur les processus et d'autres artefacts présents au moment de l'acquisition.
Wireshark
Wireshark permet d'analyser des captures de trafic réseau. Dans le cadre d'une investigation, il peut aider à étudier certaines communications associées à un incident.
Outils de calcul d'empreintes
Les outils de hachage permettent de calculer des empreintes telles que SHA-256 afin d'identifier les fichiers et de contribuer à vérifier l'intégrité des copies de travail.
Méthodologie générale
- Identifier l'incident et définir le périmètre de l'investigation.
- Identifier les sources potentielles de preuves numériques.
- Collecter les données selon une procédure appropriée.
- Préserver les originaux lorsque cela est nécessaire.
- Calculer et documenter les empreintes cryptographiques.
- Maintenir la chaîne de conservation.
- Travailler sur des copies adaptées à l'analyse.
- Examiner les systèmes de fichiers et les métadonnées.
- Analyser les journaux disponibles.
- Examiner les données réseau pertinentes.
- Analyser la mémoire si une acquisition appropriée est disponible.
- Construire une chronologie des événements.
- Corréler les informations provenant de différentes sources.
- Documenter les hypothèses et les constatations.
- Rédiger un rapport d'investigation.
Créer un rapport synthétique avec Python
Après l'analyse, les constatations peuvent être regroupées dans un rapport. L'exemple suivant montre comment Python peut produire un résumé à partir de données fictives collectées au cours d'une investigation.
1 2 3 4 5 6 7 8 9 10 11 | rapport = { "Fichiers analysés": 245, "Journaux examinés": 8, "Échecs de connexion": 17, "Événements réseau étudiés": 42, "Éléments à approfondir": 5 } print("RAPPORT FORENSIQUE") print("------------------") for element, valeur in rapport.items(): print(element, ":", valeur) |
Sortie :
1 2 3 4 5 6 7 | RAPPORT FORENSIQUE ------------------ Fichiers analysés : 245 Journaux examinés : 8 Échecs de connexion : 17 Événements réseau étudiés : 42 Éléments à approfondir : 5 |
Un véritable rapport forensique doit être beaucoup plus détaillé. Il doit notamment préciser le contexte, le périmètre, les sources de données, les méthodes utilisées, les constatations, les limites de l'analyse et les conclusions pouvant être raisonnablement tirées des preuves.
6. À retenir
L'analyse forensique est une discipline de la cybersécurité consacrée à la collecte, à la préservation et à l'analyse des preuves numériques liées à un incident.
Elle peut porter sur les disques, les systèmes de fichiers, la mémoire vive, les journaux, le trafic réseau, les équipements mobiles et les environnements cloud.
La préservation de l'intégrité des preuves constitue un principe fondamental. Les empreintes cryptographiques, notamment SHA-256, permettent de contribuer à vérifier qu'un fichier ou une copie n'a pas été modifié entre deux étapes de l'investigation.
La chaîne de conservation permet de documenter l'origine de la preuve, les personnes qui l'ont manipulée et les opérations réalisées. Elle contribue à assurer la traçabilité de l'investigation.
La construction d'une chronologie et la corrélation des événements permettent ensuite de reconstituer progressivement le déroulement de l'incident en rapprochant les traces provenant de plusieurs sources.
Des outils tels qu'Autopsy, The Sleuth Kit, Volatility et Wireshark peuvent assister l'analyste, mais les outils ne remplacent pas une méthodologie rigoureuse. Chaque conclusion doit pouvoir être reliée aux éléments observés et les limites de l'investigation doivent être clairement documentées.
Auteur : Younes Derfoufi
Lieu de travail : CRMEF OUJDA
Site Web : www.tresfacile.net
Chaine YouTube : https://www.youtube.com/user/InformatiquesFacile
Me contacter : https://www.tresfacile.net/me-contacter/
