Criminalistique numérique
La criminalistique numérique consiste à déterminer exactement ce qui s’est passé après qu’un incident s’est produit — une violation de données, une activité suspecte d’un initié ou une affaire judiciaire dont l’issue dépend de ce que révèle réellement un appareil ou un système. Il s’agit d’un travail minutieux visant à établir des preuves, qui doit être mené de manière à résister à un examen minutieux, et non pas se limiter à un simple coup d’œil destiné à satisfaire la curiosité.
Le principe fondamental consiste à préserver les preuves avant que quoi que ce soit d’autre n’y touche. Dès qu’un système est examiné sans précaution, vous risquez d’altérer les horodatages, d’écraser les journaux ou de détruire de toute autre manière ce que vous tentez d’examiner. C’est pourquoi la première étape consiste toujours à réaliser une image correcte du système et à documenter la chaîne de conservation des preuves — et non à ouvrir des fichiers et à fouiller partout.
Ce que cela couvre généralement
Reconstituer la chronologie des événements survenus sur un système compromis : quand l’accès a eu lieu, ce à quoi on a accédé ou ce qui a été exfiltré, et comment l’intrusion s’est réellement produite. Dans le cadre d’enquêtes sur des incidents impliquant des initiés, il s’agit d’établir ce qui s’est réellement passé, de manière défendable, plutôt que de se fier à des suppositions ou à des rumeurs de bureau. Sur le plan juridique, le résultat doit être un élément pouvant être présenté et défendu : une méthodologie documentée, une chaîne de conservation préservée et des conclusions reproductibles par toute autre personne examinant les mêmes preuves.
Collaboration avec les équipes de réponse aux incidents
La criminalistique et la réponse aux incidents sont liées mais distinctes : la réponse aux incidents (IR) vise au confinement et au rétablissement rapide de la situation ; la criminalistique vise à comprendre exactement ce qui s’est passé, ce qui implique parfois de ralentir là où la réponse aux incidents souhaite agir rapidement. Je coordonne ces deux aspects afin que vous bénéficiez de la rapidité dont vous avez besoin sans détruire les preuves dont vous aurez besoin par la suite, que ce soit pour votre propre analyse post-incident, une demande d’indemnisation ou une procédure judiciaire.
Si vous êtes confronté à un incident présumé ou si vous avez besoin d’une enquête solide permettant de déterminer ce qui s’est réellement passé, n’hésitez pas à nous contacter : plus les preuves sont préservées rapidement, plus nous disposons d’éléments sur lesquels nous appuyer.