Forensic : investigation et science forensique

Cette étape est celle pendant laquelle les investigateurs "perquisitionnent" s'ils sont mandatés, ou simplement reçoivent les supports numériques à analyser. Ces derniers sont identifiés avec précision (recensement des caractéristiques physiques et logicielles) et photographiés.

Quand cela est possible, c'est-à-dire si la machine est en fonctionnement pendant l'acquisition, une capture de la mémoire vive (RAM) est effectuée. Cette dernière servira plus tard à faire une analyse dite de live forensics, sur une capture faite pendant que la cible était en marche.

Les analystes procèdent aussi à une copie et duplication des mémoires persistantes, notamment des disques durs. Ces copies serviront à réaliser une analyse dite de dead forensics. Il est recommandé de faire deux copies des disques d'origine et de ne jamais travailler directement sur le disque d'origine. L'une des copies pourra alors être utilisée comme secours en cas de dysfonctionnement de l'autre copie.

Après la copie ou la duplication d'un disque, il faut toujours vérifier l'intégrité et la correspondance absolue avec le disque d'origine. Cela passe par la comparaison de l'empreinte du disque d'origine avec celle de chacune des copies.

L'investigation est un véritable jeu de piste que réalisent les investigateurs. C'est dans cette partie de la mission que les analystes mènent des fouilles pour trouver des réponses aux questions que se posent les demandeurs. Pour ce faire, on peut procéder comme suit.

1. Mettre en place une timeline des évènements à partir des supports persistants précédemment acquis : un historique ordonné des évènements systèmes, applicatifs, disques, utilisateurs et autres. En se focalisant sur la période intéressante sur laquelle investiguer, celle que le demandeur donne pendant les échanges initiaux à la mission, cette timeline peut déjà donner des pistes. Toutefois, toutes ces informations initiales ne sont pas à prendre pour vérité absolue, et on peut se permettre une marge de quelques jours sur la période indiquée par le client.
2. À partir des données récupérées, on peut déjà identifier un squelette de scénario. Il faut parcourir tous les types d'artéfacts disponibles pour identifier des éléments qui confirment ou infirment cette première hypothèse. Les investigations live forensics et dead forensics sont à corréler.
3. À ce stade, l'hypothèse initiale a potentiellement engendré de nouveaux scénarios. Ces derniers sont également à démontrer sur la base d'artéfacts. Cette phase et la précédente sont à reproduire jusqu'à ce qu'on ne puisse plus établir de nouvelles hypothèses.
4. Tout cela permet de déduire une suite logique d'évènements qui tendent à donner une conclusion factuelle prouvée : le scénario final.

Cette phase apparaît selon le contexte ; elle n'aura pas lieu d’être dans le cadre d'une enquête judiciaire sur un crime, par exemple.

Dans le cas d'une infection par un logiciel malveillant, il faut endiguer la propagation et remettre le parc en état de fonctionnement si possible.

Ce rapport est rédigé par les équipes d'analystes, et constitue une présentation claire et soutenue par les traces numériques des éléments de réponse aux questions initiales. Sa clarté et sa précision sont de rigueur vu les décisions qui peuvent s'en suivre, notamment dans le cadre d'un procès.

S'il s'agit d'une réponse à un incident, des mesures de protection peuvent être proposées pour éviter que l'incident ne se reproduise.