Français
Menu

Cyberattaques et défense en pratique

Il faut collecter des preuves pour une enquête sur un serveur où un incident s'est produit. Quel ordre est le plus approprié selon le principe de collecter les preuves dans l'ordre de leur facilité à se perdre (ordre de volatilité) ?

  1. AContenu de la mémoire et état des connexions réseau en cours → contenu du disque → sauvegardes et archives stockées à l'extérieur
  2. BSauvegardes et archives stockées à l'extérieur → contenu du disque → contenu de la mémoire et état des connexions réseau en cours
  3. CContenu du disque → après mise hors tension, contenu de la mémoire et état des connexions réseau en cours → sauvegardes stockées à l'extérieur
Afficher la réponse et l'explication

Réponse : A. Contenu de la mémoire et état des connexions réseau en cours → contenu du disque → sauvegardes et archives stockées à l'extérieur

La RFC 3227 (2002), un guide pour la collecte de preuves en investigation numérique, recommande de collecter d'abord les données qui se perdent le plus facilement. Les registres et caches du CPU, le contenu de la mémoire, les processus en cours et l'état des connexions réseau se perdent avec le temps ou à la mise hors tension ; ils sont donc collectés en premier. La mémoire peut contenir un logiciel malveillant qui ne laisse rien sur le disque, ou des informations sous forme déchiffrée. Le contenu du disque est ensuite copié et examiné, et les sauvegardes et archives stockées à l'extérieur changent peu ; elles peuvent donc venir en dernier.

S'entraîner sur ce thème Retour au thème

Autres questions sur Cyberattaques et défense en pratique

  1. Les preuves d'une enquête sur un incident, comme la copie d'un disque, doivent être traitées de façon à pouvoir servir plus tard dans un procès ou lors d'une plainte auprès de la police. Quel traitement est le plus approprié selon l'idée de la chaîne de possession (chain of custody) ?
  2. Quelle description de l'IoC (indicateur de compromission) et de l'IoA (indicateur d'attaque) utilisés dans la détection des menaces est correcte ?
  3. Quelle description de la différence de rôle entre un CSIRT et un PSIRT au sein d'une organisation est correcte ?
  4. Dans une enquête sur une intrusion, on compare les journaux de deux serveurs. Le serveur web journalise en temps universel coordonné (UTC), et son horloge était réglée correctement par NTP. Le serveur de fichiers journalise en heure du Japon (UTC+9 heures), et son horloge avançait de 4 minutes sur l'heure exacte. Le journal du serveur web indique une connexion suspecte à 01:52 (UTC), et celui du serveur de fichiers une lecture massive de fichiers à 10:58 (heure du Japon). Combien de minutes après la connexion suspecte la lecture des fichiers a-t-elle réellement eu lieu ?
  5. La même semaine, des correctifs ont été publiés pour trois vulnérabilités. L'équipe d'exploitation ne peut appliquer qu'un correctif par jour. Quelle association entre le correctif à appliquer en premier et la raison est la plus appropriée ?