Légende de la leçon
Vert : définitions
Introduction
Lorsqu'une faille de sécurité est exploitée ou qu'une attaque informatique a lieu, comment pouvons-nous déterminer ce qui s'est passé ? Comment retracer les étapes de l'attaquant ? La réponse réside dans le domaine fascinant de la « forensic informatique ». Nous plongerons dans cette leçon au sein de cet univers pour comprendre ses fondamentaux.
I. Qu'est-ce que la forensic informatique ?
La forensic ou forensique informatique est l'art et la science de collecter, préserver, analyser et présenter des preuves numériques dans le but de découvrir ce qui s'est passé lors d'un incident de sécurité, d'identifier les coupables et, éventuellement, de les poursuivre en justice.
II. Les étapes clés de la forensic informatique
1) Identification
La première étape consiste à identifier où se trouvent les preuves potentielles. Cela pourrait être un serveur compromis, un ordinateur personnel ou même un smartphone.
2) Préservation
Une fois les preuves identifiées, il est crucial de les préserver dans leur état actuel. Cela signifie créer une image disque, qui est une copie exacte du disque dur, pour éviter toute altération des données.
3) Analyse
Lors de cette phase, les experts utilisent divers outils et techniques pour examiner l'image disque. Ils cherchent des indices sur la manière dont l'attaque a été menée et sur l'identité de l'attaquant.
4) Documentation
Toutes les découvertes doivent être soigneusement documentées. Cela comprend la prise de notes, la capture d'écrans et la création de rapports détaillés.
5) Présentation
Les résultats de l'analyse sont ensuite présentés aux parties concernées, qui peuvent être des responsables d'entreprise, des forces de l'ordre ou un tribunal.
III. Exemple concret
Imaginons une entreprise qui a été victime d'une attaque par ransomware. L'attaquant a crypté des fichiers essentiels et demande une rançon. La forensic informatique serait utilisée pour :
- identifier l'origine de l'attaque (par exemple, un email de phishing) ;
- préserver l'état actuel des systèmes pour l'analyse ;
- analyser comment le ransomware s'est propagé dans le réseau ;
- documenter chaque étape de l'attaque.
IV. Outils courants en forensic informatique
Il existe de nombreux outils spécialisés pour aider les experts en forensic. Voici quelques-uns des plus populaires :
- Autopsy : outil d'analyse de disque dur open source.
- Wireshark : analyseur de paquets pour étudier le trafic réseau.
- Volatility : outil d'analyse de la mémoire pour extraire des informations d'une image de la mémoire.
Je retiens
