LAB 10 : Digital Forensics — Préservation de Preuves & Analyse Mémoire

La criminalistique numérique (Digital Forensics & Incident Response - DFIR) intervient lorsqu'un incident de sécurité s'est produit. Son but est de répondre méthodiquement aux cinq questions fondamentales : Qui ? Quoi ? Quand ? Où ? Comment ?, tout en garantissant la recevabilité des preuves devant une juridiction légale.

---

1. L'Ordre de Volatilité des Preuves (RFC 3227)

Toute intervention sur une machine compromise doit respecter strictement l'ordre de volatilité : les données disparaissant le plus vite doivent être collectées en priorité absolue avant d'éteindre ou de modifier le système !

`` +--------------------------------------------------------------------------+ | 1. Registres processeur & Cache CPU (Extrêmement volatil : nanosecondes) | +--------------------------------------------------------------------------+ | 2. Mémoire vive (RAM) : Connexions réseau actives, clés cryptographiques, | | processus en mémoire, mots de passe déchiffrés (Minutes) | +--------------------------------------------------------------------------+ | 3. État du réseau : Tables de routage, connexions ouvertes (netstat, arp)| +--------------------------------------------------------------------------+ | 4. Système de fichiers temporaires (/tmp, fichiers swap, pagefile.sys) | +--------------------------------------------------------------------------+ | 5. Disques durs physiques et partitions de stockage persistant | +--------------------------------------------------------------------------+ | 6. Journaux distants (SIEM, Syslog centralisé) et sauvegardes d'archives | +--------------------------------------------------------------------------+ `

> [!CAUTION] > N'éteignez JAMAIS brutalement un serveur compromis ! En débranchant la prise électrique, vous détruisez irrémédiablement le contenu de la mémoire vive (RAM) qui contenait la clé de déchiffrement du malware ou l'adresse IP de commande et contrôle (C2) de l'intrus.

---

2. La Chaîne de Traçabilité (Chain of Custody)

Pour qu'un artéfact numérique soit recevable juridiquement, l'enquêteur doit prouver qu'il n'a subi aucune altération : 1. Acquisition en lecture seule (Write-Blocker) : L'image disque ou mémoire est réalisée à l'aide d'un bloqueur d'écriture matériel ou logiciel. 2. Calcul d'empreinte immédiat : Dès la fin de la capture, l'empreinte SHA-256 de l'image est calculée et consignée sur un registre d'audit physique et numérique. 3. Travail exclusif sur copie : L'analyste forensique ne travaille jamais sur la preuve originale, mais toujours sur une copie bit-à-bit vérifiée par hash.

---

3. Analyse de Mémoire Volatile avec Volatility 3

Volatility 3 est le framework de référence pour inspecter les images de mémoire RAM (memdump.raw) :

`bash

1. Lister les processus qui tournaient en mémoire lors de l'incident

python3 vol.py -f memdump.raw windows.pslist

2. Détecter les processus cachés par un rootkit (analyse croisée EPROCESS)

python3 vol.py -f memdump.raw windows.psscan

3. Lister les connexions réseau actives (IPs distantes, sockets)

python3 vol.py -f memdump.raw windows.netscan

4. Extraire un binaire suspect de la mémoire pour rétro-ingénierie

python3 vol.py -f memdump.raw windows.dumpfiles --pid 1337 ``