Fondamentaux de la preuve numérique · Leçon 2 sur 3
Volatilité et fragilité
7 min de lecture
Les preuves numériques n’attendent pas. La mémoire se vide lorsque l’alimentation est coupée, les journaux s’écrasent eux-mêmes, les téléphones reçoivent des messages et des commandes d’effacement à distance, et les disques SSD nettoient d’eux-mêmes les données supprimées. Même l’examinateur modifie un système dès qu’il y touche. Les premières décisions dans toute affaire concernent donc le temps : qu’est-ce qui disparaîtra en premier, et que faut-il préserver avant que cela ne se produise ? Les modalités de saisie des appareils sont traitées dans le module 3, et les méthodes de copie dans le module 4.
Volatilité et fragilité ne sont pas synonymes
- Les données volatiles disparaissent lorsqu’un appareil n’est plus alimenté ou qu’un processus se termine : le contenu de la mémoire vive (RAM), les processus en cours d’exécution, les connexions réseau ouvertes, les clés de chiffrement conservées pendant qu’un disque est déverrouillé.
- Les données fragiles survivent à une coupure d’alimentation, mais se modifient facilement : fichiers, journaux et horodatages altérés par l’utilisation normale, par la maintenance automatique ou par une manipulation négligente.
Ces deux caractéristiques conduisent à la même règle : déterminer rapidement ce qui pourrait être perdu, le préserver dans un ordre judicieux et consigner ce que vous avez fait et pourquoi.
L’ordre de volatilité
La RFC 3227, « Lignes directrices pour la collecte et l’archivage des preuves », publiée en 2002, propose de collecter les preuves des plus volatiles aux moins volatiles. L’ordre qu’elle définit reste la référence :
- Registres et mémoire cache
- Table de routage, cache ARP, table des processus, statistiques du noyau et mémoire
- Systèmes de fichiers temporaires
- Disque
- Données de journalisation et de surveillance distantes pertinentes pour le système
- Configuration physique et topologie du réseau
- Supports d’archivage
En pratique, les registres et les mémoires caches ne peuvent pas être capturés isolément ; les examinateurs peuvent préserver le contenu de la mémoire et l’état du système en fonctionnement tel que le rapporte le système d’exploitation, notamment les processus en cours d’exécution et les connexions réseau. C’est le principe qui compte : si deux sources sont menacées, commencez par celle qui disparaîtra en premier.
Ce qui modifie les preuves numériques
| Source | Ce qui peut la modifier ou la détruire | Premier point à considérer habituellement |
|---|---|---|
| Mémoire vive (RAM) | Perte d’alimentation, arrêt, redémarrage ; l’activité normale l’écrase constamment | Capturer la mémoire avant d’arrêter un système en fonctionnement, lorsque cela présente un intérêt pour l’affaire et est autorisé |
| Disques SSD | TRIM et le nettoyage des blocs effacent les blocs supprimés tant que le disque est alimenté, même sans activité de l’utilisateur | Ne pas laisser un disque sous tension plus longtemps que nécessaire ; en réaliser rapidement une image |
| Téléphones et tablettes | Messages entrants, mises à jour automatiques, commandes d’effacement ou de verrouillage à distance | Isoler l’appareil de tous les réseaux et maintenir sa batterie chargée |
| Journaux système et applicatifs | Rotation et limites de taille entraînant l’écrasement des entrées les plus anciennes | Préserver rapidement les journaux, y compris les copies conservées sur les serveurs de journalisation centralisés |
| Comptes cloud | L’utilisateur, les autres appareils synchronisés ou les règles de conservation du fournisseur | Demander au fournisseur de préserver les données et les collecter dès que cela est autorisé |
Les horodatages méritent une attention particulière. Ouvrir un fichier, parcourir un dossier ou simplement démarrer un système d’exploitation peut mettre à jour les horodatages et les enregistrements système. Sous Windows, par exemple, connecter un périphérique USB pour l’examiner crée de nouvelles entrées dans le registre et les journaux d’installation. Les données de l’appareil d’origine doivent être examinées à partir de copies vérifiées, et non en les parcourant directement.
Toute action laisse une trace
Un principe attribué au criminologue Edmond Locard affirme que tout contact laisse une trace. Il s’applique aussi aux examinateurs. Exécuter un outil de capture de mémoire charge cet outil dans la mémoire que vous capturez ; brancher un périphérique de stockage crée des enregistrements à son sujet ; saisir des commandes sur un système en fonctionnement crée de nouveaux processus. Ces modifications ne peuvent pas toujours être évitées. Elles sont acceptables à condition d’être réduites au minimum, choisies délibérément et documentées afin que chacun puisse distinguer les traces de l’examinateur de celles de l’utilisateur.
Alimentation, chiffrement et connectivité
Trois questions orientent les premières minutes de prise en charge de tout appareil.
Est-il allumé ou éteint ?
Un appareil trouvé éteint est normalement laissé éteint : sa mise sous tension lance le système d’exploitation, ce qui modifie les données. Un appareil trouvé en fonctionnement contient des données volatiles potentiellement précieuses, et il faut décider de les préserver ou non avant de couper l’alimentation.
Les données sont-elles chiffrées ?
Le chiffrement intégral du disque, comme BitLocker sous Windows, FileVault sous macOS ou LUKS sous Linux, protège les données au repos. Tant que le système fonctionne et est déverrouillé, les données sont lisibles et les clés peuvent se trouver en mémoire. Éteindre le système peut rendre les données illisibles sans le mot de passe ou la clé de récupération. Repérer le chiffrement sur un système en fonctionnement constitue donc l’une des observations initiales les plus importantes.
Est-il connecté ?
Les téléphones, les ordinateurs portables et les dossiers synchronisés avec le cloud continuent de changer tant qu’ils sont connectés. Un effacement à distance, un nouveau message ou une synchronisation peuvent altérer ou détruire des preuves. Isoler l’appareil des réseaux mobiles, du Wi-Fi et du Bluetooth, par exemple au moyen du mode avion ou d’un sac blindé contre les radiofréquences, empêche ces changements, mais chaque méthode présente des effets secondaires qui sont traités dans le module 3.
La volatilité au-delà de l’appareil
Certaines des preuves les plus précieuses ne se trouvent jamais sur l’appareil qui est devant vous.
- Le trafic réseau n’existe que pendant son transit. À moins qu’une capture soit déjà en cours, il n’en reste que des enregistrements : journaux de pare-feu, de proxy et DNS, enregistrements de flux et connexions répertoriées sur un système en fonctionnement.
- Les journaux des serveurs et des services en ligne sont conservés pendant une durée limitée. Les durées de conservation vont de quelques jours à plusieurs mois et dépendent du fournisseur, de l’offre de service et des paramètres propres à l’organisation.
- Les données partagées et synchronisées peuvent être modifiées depuis n’importe où. Un fichier supprimé sur un appareil peut disparaître du cloud et de tous les autres appareils liés au compte.
Pour ces sources, la première étape consiste souvent à formuler une demande plutôt qu’à utiliser un outil : demandez au propriétaire du système ou au fournisseur du service de préserver les enregistrements pertinents avant l’expiration de leur durée de conservation, et consignez quand et comment cette demande a été faite. Les organisations qui anticipent, en conservant leurs journaux de manière centralisée et suffisamment longtemps, facilitent considérablement les investigations ultérieures.
Il existe rarement un choix parfait
La volatilité impose des compromis. Capturer la mémoire modifie légèrement le système, mais préserve ce qui serait autrement perdu ; débrancher l’alimentation préserve le disque en l’état, mais entraîne la perte de la mémoire et peut verrouiller un volume chiffré. Il n’existe pas de réponse unique valable pour toutes les affaires. La norme ISO/IEC 27037 exige la justifiabilité : il doit être possible d’expliquer en quoi la décision constituait la meilleure option dans les circonstances, compte tenu de l’objectif de l’investigation, des risques et de l’autorisation. Consigner les raisons au moment de la décision permet de transformer un choix fondé sur le jugement en un choix défendable.
Points clés pour l’examen : De nombreuses questions portent sur la différence entre les données volatiles et fragiles, l’ordre de volatilité de la RFC 3227 (la mémoire avant le disque, le disque avant les journaux distants et les supports d’archivage), et les raisons pour lesquelles TRIM et le nettoyage des blocs des SSD, la rotation des journaux et l’effacement à distance menacent les preuves. Attendez-vous à des mises en situation sur les systèmes chiffrés en fonctionnement, l’isolement des téléphones vis-à-vis des réseaux et les raisons pour lesquelles les examinateurs doivent réduire au minimum et documenter les modifications qu’ils provoquent.