Types d’acquisition

L’acquisition est l’étape au cours de laquelle les données sont copiées depuis leur source de manière à permettre une vérification ultérieure (le module 1 explique en quoi elle diffère de la collecte). Une image complète d’un disque dur, une copie de boîtes aux lettres sélectionnées, une capture de la mémoire d’un ordinateur en cours de fonctionnement et un export depuis un compte en ligne sont tous des acquisitions. Chacune capture certaines données, en omet d’autres et modifie quelque chose. Le choix du type d’acquisition constitue donc un compromis, établi au cas par cas. La leçon 4.2 explique comment les valeurs de hachage protègent la copie, et la leçon 4.3 comment les images de disque sont créées.

Acquisition physique, logique et ciblée

• L’acquisition physique, également appelée image bit à bit ou image du disque complet, copie tous les secteurs du support, dans l’ordre : la table de partitionnement, chaque partition, l’espace non alloué (les zones que le système de fichiers indique comme libres, mais qui contiennent souvent encore des données supprimées) et l’espace résiduel (les octets inutilisés à la fin du dernier cluster d’un fichier). Il s’agit de la copie la plus complète.
• L’acquisition logique copie les fichiers et les dossiers tels que le système de fichiers les présente, avec leurs noms, leurs chemins et leurs horodatages. Elle est plus rapide et moins volumineuse, mais exclut les fichiers supprimés, l’espace non alloué et l’espace résiduel.
• L’acquisition ciblée ou sélective copie uniquement les éléments choisis selon des critères, comme la boîte aux lettres d’un utilisateur, un dossier de projet ou des fichiers appartenant à une plage de dates. Elle est courante dans la recherche de preuves électroniques (ISO/IEC 27050).

Une image de volume est une copie bit à bit d’une partition plutôt que de l’ensemble du disque. Elle conserve l’espace non alloué de cette partition et sert souvent à copier un volume déchiffré depuis un système en cours de fonctionnement.

Sur un disque SSD, une image physique copie tous les blocs que le disque expose, mais pas la mémoire flash de réserve que son contrôleur conserve pour son propre usage. Les blocs effacés par TRIM (module 1) sont généralement lus comme des zéros.

Acquisition à froid et acquisition à chaud

• L’acquisition à froid (également appelée statique ou hors ligne) porte sur un système éteint : le disque est connecté par l’intermédiaire d’un bloqueur d’écriture, ou l’ordinateur est démarré à partir d’un support d’amorçage d’investigation numérique qui n’y effectue aucune écriture. Correctement réalisée, elle ne modifie rien sur la source et peut être répétée : la création d’une nouvelle image d’un disque en bon état donne la même valeur de hachage.
• L’acquisition à chaud porte sur un système en cours de fonctionnement. Elle permet de capturer la mémoire (processus, connexions réseau, clés de chiffrement, logiciels malveillants qui ne sont jamais écrits sur le disque) ainsi que les données des volumes déverrouillés à cet instant.

L’acquisition à chaud a un coût. L’outil s’exécute sur le système et le modifie, et la mémoire continue de changer pendant sa copie. Le résultat ne peut être ni répété ni vérifié par rapport à la source, car celle-ci n’existe plus dans cet état ; le hachage d’une image mémoire ne la protège qu’à partir du moment de la capture. Des notes détaillées compensent ce qui ne peut pas être répété. Les deux approches sont souvent combinées : d’abord la mémoire et les volumes déverrouillés, en suivant l’ordre de volatilité (module 1), puis le disque après l’arrêt.

Acquisition locale et à distance

La plupart des acquisitions sont locales : l’examinateur se trouve auprès de l’appareil. L’acquisition à distance copie les données sur un réseau. Dans les organisations, des agents de poste, de petits programmes installés à l’avance sur les ordinateurs, peuvent créer une image de disque, capturer la mémoire ou collecter des fichiers depuis une machine située dans un autre pays. Cela accélère la réponse aux incidents, mais ajoute des exigences :

• une autorisation pour chaque machine et pour tout transfert transfrontalier (module 2) ;
• une connexion chiffrée et un hachage calculé sur la source, puis à nouveau sur la copie reçue ;
• des notes sur les traces laissées par l’agent lui-même, puisqu’il s’exécute sur le système en fonctionnement.

Appareils mobiles

L’acquisition des téléphones et des tablettes s’effectue presque toujours lorsqu’ils sont allumés, par l’intermédiaire de leur propre système d’exploitation ou d’un mode de démarrage spécial. Toute acquisition mobile modifie donc légèrement l’appareil. Trois niveaux sont couramment décrits.

• Logique : les données que le système d’exploitation fournit par ses interfaces habituelles ou sa fonction de sauvegarde, comme les contacts, les messages et les photos.
• Système de fichiers (ou système de fichiers complet) : une copie du système de fichiers, comprenant les bases de données des applications et les journaux système qui n’apparaissent jamais dans une sauvegarde. Elle nécessite souvent des privilèges élevés.
• Physique : une copie bit à bit de la mémoire flash. Sur de nombreux appareils actuels, les données utilisateur sont chiffrées fichier par fichier ; une copie physique ne peut donc pas être déchiffrée sans les clés protégées par l’appareil.

NIST SP 800-101 décrit d’autres méthodes, allant de l’extraction manuelle (photographier l’écran) au chip-off (retirer la puce mémoire).

L’état de verrouillage détermine souvent ce qui est possible. Les téléphones modernes chiffrent les données utilisateur avec des clés qui dépendent en partie du code de déverrouillage. Avant le premier déverrouillage après un redémarrage (BFU), la plupart des données utilisateur restent chiffrées ; après le premier déverrouillage (AFU), beaucoup plus de données sont accessibles, même si l’écran se verrouille à nouveau. C’est pourquoi un téléphone trouvé allumé est maintenu chargé et isolé (module 3).

Cloud et services en ligne

Les données détenues par un service en ligne ne peuvent pas faire l’objet d’une image. Trois voies sont courantes :

• Export par le fournisseur : le fournisseur produit les données en réponse à une demande légale, souvent accompagnées de journaux que l’utilisateur ne voit jamais.
• Export du compte avec autorisation : une personne autorisée se connecte, avec un consentement ou sur une autre base juridique, et utilise la fonction de téléchargement du service, en consignant chaque étape.
• Collecte par API : un outil utilise l’interface de programmation d’application (API) du service avec des identifiants autorisés pour télécharger les éléments et leurs métadonnées, comme le font souvent les organisations pour leurs propres comptes professionnels.

L’acquisition dans le cloud est toujours logique : il n’y a pas d’espace non alloué, et les éléments supprimés n’existent que tant que le fournisseur les conserve. Les formats d’export et les métadonnées dépendent du service. Calculez le hachage de chaque export dès sa réception.

Choisir une méthode

Choisissez en vous demandant quelles données sont nécessaires pour répondre aux questions, ce qui pourrait être perdu, ce que l’autorisation permet et ce qui est techniquement possible. Une image physique laisse le plus de possibilités ouvertes ; une copie ciblée constitue souvent le choix proportionné pour un serveur contenant les données d’autres personnes. Consignez toujours ce qui n’a pas été acquis et pourquoi, afin qu’une personne chargée de la vérification puisse distinguer une limitation délibérée d’un oubli.

Exemple pratique

Ana Ruiz, enquêtrice chez Northline Freight, intervient dans une affaire de fraude présumée à la paie. L’ordinateur de bureau du suspect est en cours de fonctionnement avec un disque chiffré, les fichiers de paie se trouvent sur un serveur partagé par 400 employés, et le suspect utilise un compte de messagerie professionnelle hébergé.

1. Ana capture la mémoire et une image du volume déverrouillé, en notant chaque commande, et consigne la clé de récupération fournie par le service informatique.
2. Elle éteint l’ordinateur de bureau et crée une image physique de son disque par l’intermédiaire d’un bloqueur d’écriture.
3. Le serveur doit rester en ligne ; elle réalise donc une copie ciblée des dossiers de paie et des journaux d’accès.
4. Elle collecte la boîte aux lettres au moyen de l’export administratif du service et calcule le hachage de chaque fichier produit.

Ses notes répertorient ce qu’elle a exclu, comme les dossiers des autres utilisateurs, ainsi que les raisons de ces exclusions.

Points clés pour l’examen : Pour chaque type d’acquisition (physique, logique, ciblée, de volume), sachez ce qu’il capture et retenez que seules les images bit à bit incluent l’espace non alloué et l’espace résiduel. Distinguez l’acquisition à froid de l’acquisition à chaud et comprenez pourquoi une image mémoire ne peut pas être vérifiée par rapport à sa source. Connaissez les niveaux d’acquisition mobile (logique, système de fichiers, physique), les états de verrouillage BFU et AFU, les voies d’acquisition des données du cloud et les raisons pour lesquelles les examinateurs consignent ce qu’ils n’ont pas acquis.