Investigation numérique (forensic)
Analyse des traces laissées sur les systèmes pour comprendre comment une attaque s'est produite, ce qu'elle a touché et comment l'éradiquer.
Définition complète
L'investigation numérique, souvent appelée forensic, consiste à collecter et analyser les traces d'un incident (journaux, disques, mémoire, trafic réseau, messagerie) pour établir les faits : point d'entrée de l'attaquant, date de la compromission, comptes et machines touchés, données exfiltrées, présence d'accès persistants.
Elle poursuit deux objectifs : éradiquer durablement l'attaquant avant de redémarrer (sinon il revient par la même porte) et documenter l'incident pour la plainte, l'assureur, la CNIL ou une procédure judiciaire. Le NIST souligne qu'elle doit être menée en lien avec la direction et les conseils juridiques.
En France, l'ANSSI qualifie des prestataires de réponse aux incidents de sécurité (PRIS). Leur référentiel couvre notamment la recherche d'indicateurs de compromission, l'investigation numérique (analyse système et réseau) et l'analyse de codes malveillants.
Sources : ANSSI, Prestataires de réponse aux incidents de sécurité (PRIS) ; NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response
Exemple concret
Une agence immobilière de 15 salariés constate des virements détournés vers de faux RIB. Plutôt que de réinstaller immédiatement les postes, elle fait intervenir un prestataire d'investigation. L'analyse montre qu'un compte de messagerie a été compromis trois semaines plus tôt et qu'une règle de transfert automatique envoyait les emails des clients à l'attaquant. La règle est supprimée, les mots de passe changés, et le rapport est joint à la plainte.
Comment se protéger
- Ne pas éteindre les machines suspectes : les isoler du réseau pour préserver la mémoire et les traces
- Ne pas réinstaller ni nettoyer avant que les éléments de preuve aient été collectés
- Conserver et centraliser les journaux (pare-feu, messagerie, authentification) sur une durée suffisante
- Tenir une main courante horodatée de toutes les actions menées pendant l'incident
- Faire appel à un prestataire spécialisé, idéalement identifié ou sous contrat avant l'incident
- Joindre les conclusions à la plainte et à la déclaration à l'assureur
Questions fréquentes
Pour un incident sérieux, oui : sans comprendre le point d'entrée, le risque est de restaurer un système encore compromis. Son ampleur s'adapte à la gravité de l'incident.
De quelques jours à plusieurs semaines selon l'étendue de la compromission et la qualité des journaux disponibles. Des journaux bien conservés raccourcissent nettement l'analyse.
Termes liés
CERT et CSIRT
Équipes spécialisées dans la prévention, la détection et le traitement des incidents de cybersécurité ; en France, le CERT-FR et les CSIRT régionaux.
Indicateur de compromission (IOC)
Trace technique (adresse IP, nom de domaine, empreinte de fichier) qui signale qu'une attaque est en cours ou a déjà eu lieu.
Plan de réponse à incident
Procédure écrite qui indique qui fait quoi, dans quel ordre et avec quels contacts dès qu'une cyberattaque est détectée.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Vous avez besoin d'un expert en Investigation numérique (forensic) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.