Digital Forensics  -  sécurité et informatique légale

“Digital Forensics”

Présentation

Digital Forensics est une branche des sciences dites “Forensics”, elle concerne la conduite d’investigations numériques.
Cette branche rassemble la démarche (Méthodologie et processus à suivre lors de relève de preuves), ainsi que les techniques pour la collecte et l’exploitation de traces, initialement, électroniques (i.e : produites par un système numérique) et pouvant être relevées sur des supports bien différents. C’est d’ailleurs ce que nous allons voir tout de suite avec une brève analogie (voire partie ci-après).
Comme nous l’avons dit précédemment, on retrouve la pratique de cette science dans des affaires à caractère criminel ou financier. En effet, les entreprises reposent sur leurs systèmes d’information et leurs employés font également usage, de plus en plus fréquemment et quotidiennement, de système numérique (i.e : digitaux) autres, pouvant eux aussi être attachés au système d’information de l’entreprise (e.x : mobiles, smartphones, etc.). Plus intéressant, dans le cadre d’une enquête, tous ces supports amènent de l’information. Enfin, lorsque l’on disposera d’une quantité d’information que l’on jugera suffisante : il sera alors possible d’effectuer un recoupage dans le temps (créer la Timeline ou historique), dans le but de retracer toutes les actions opérées par le suspect.

Digital_forensics

Analogie

Dans un soucis pédagogique, voici ci-dessous une petite proposition d’analogie entre l’informatique légale (i.e : “Digital Forensics”) et ce que pratique la Brigade Criminelle (Police Judiciaire / 36 Quai des Orfè à Paris, i.e : “Criminal Forensics”)


Informatique légale small double arrow png Identification du corps
Analyse de données forensics small double arrow png Étude balistique
(analyse des balles et de leurs impacts dans une scène de crime)
Analyse forensic du réseau small double arrow png Analyse d’empreintes balistiques
(analyse des traces laissées lors du tir, sur l’arme et surtout sur les projectiles)
Analyse forensic d’appareils mobiles small double arrow png Analyse d’empreintes digitales
Bases de données forensics small double arrow png Toxicologie médico-légale

Cela peut sembler quelque peu tiré par les cheveux... en fait, le but de cet exercice est de montrer que derrière ces deux disciplines se cachent plusieurs autres domaines de compétences, sur lesquelles vont se baser les enquêteurs ou analystes forencics, afin d’avancer dans leurs investigations (voir l’illustration ci-dessous).


Digital_forensics

Les “e-discoveries”

Plusieurs grands thèmes sont abordés ici, les e-discoveries d’une part et les ESI d’autre part. En effet, ce sont des notions plus qu’importantes pour cet exposé puisque dans notre ère ”moderne“, ces termes (bien qu’amenés très récemment en Europe) se retrouvent au sein de quasiment tous les procès dans lesquels des experts en forensics sont impliqués. Ils sont issus de l’anglais et nous viennent des États-Unis, pays le plus avancé en matière d’informatique légale, certainement grâce à leur système judiciaire, moderne, plus équitable et qui laisse une plus grande place à la preuve.

Les e-discoveries ou electronic-discoveries sont en fait les relèves de preuves numériques ou informations stockées électroniquement (i.e : ESI)

Au cours d’une e-discovery, les données “Forensics” collectées de manière à ne pas modifier l’état du système ciblé, sont estampillées (voir section informatique légale) et sont de type varié (cliquez ici) :


  • Métadonnées
  • Fichiers multimédia
  • Fichiers de bureau (PDF, tableur, etc.)
  • Fichiers système
  • Bases de de données
  • Messages électronique ou vocaux
  • Les cookies et informations de navigation internet
e_discovey

Les contre-mesures

Les contre-mesures ou les techniques anti-forensic, permettent d’endiguer ou de ralentir les enquêteurs sur le terrain. Typiquement, ce sont les moyens, qu’ont à disposition les pirates, pour obfusquer, voire supprimer des informations sur un système cible, le but étant bien souvent d’effacer les traces de méfaits accomplis.

Nota : Jérôme Kerviel fût, par exemple, accusé de piratage informatique dans l’affaire qui l’oppose à la société générale. Il serait venu à bout de plusieurs niveaux de sécurité bancaire pour dissimuler des ordres qu’il aurait passé, personnellement, sur les marchés financiers. En 2006, cela n’a pas pu être totalement prouvé car le principe d’e-discovery n’est pas en accord avec la loi française de protection des données personnelles, que la CNIL se charge de faire respecter.
  1. Obfuscation de données

  2. Suppression des données
    • Effacement d’un fichier et des traces de son existence sur le système
    • Nettoyage des fichiers de logs
    • Formatage et réinstallation complète du système
    • Disk cleaning (suppression des données et réécriture arbitraire)
    • Destruction totale de disque à l’aide de champs magnétique
    • Désintégration totale d’un disque (ex.: incinération)

>>>  Vers la suite de l’exposé  >>>