Investigation numérique (forensique)
forensique · forensics · DFIR · digital forensics · criminalistique numérique · investigation numérique légale · analyse post-mortem
Discipline qui collecte, préserve et analyse les traces numériques (disques, mémoire, journaux) pour reconstituer le déroulé d’un incident, avec une rigueur qui permet de les produire en justice.
En pratique
L’enquêteur commence par figer les preuves : copie exacte des disques, capture de la mémoire vive, sauvegarde des journaux, chaque manipulation étant documentée (chaîne de traçabilité). L’analyse établit ensuite le point d’entrée, la chronologie, les comptes et machines touchés, les données exfiltrées. Le DFIR (Digital Forensics and Incident Response) associe cette enquête à la réponse à incident : sans elle, on éradique au hasard et l’attaquant revient. L’ANSSI qualifie des prestataires de réponse aux incidents (PRIS) capables de mener ces investigations.
Cas fictif : après un rançongiciel, l’analyse des journaux du VPN montre que l’attaquant est entré six semaines plus tôt avec un mot de passe volé, sur un compte sans MFA. Sans cette découverte, l’entreprise aurait restauré ses systèmes en laissant la porte d’entrée grande ouverte.
