Français
Menu

Qu'est-ce que Investigation numérique (forensique) ?

Techniques et procédures qui consistent, pour l'enquête sur des incidents et des délits, à collecter sur des ordinateurs et des équipements réseau des données servant de preuves, à les analyser en les préservant de toute falsification et à établir ce qui s'est passé. Les bases sont de collecter d'abord les données les plus volatiles (comme le contenu de la mémoire et l'état des connexions réseau), de copier le support d'origine en bloquant l'écriture, de confirmer l'identité par des valeurs de hachage et d'enregistrer chaque remise des preuves (chaîne de possession).

Nom japonais: デジタルフォレンジック

« Investigation numérique (forensique) » apparaît dans 1 questions d'entraînement réparties sur 1 thèmes, dont Cyberattaques et défense en pratique.

Domaine: Cyberattaques et défense en pratique

S'entraîner : questions sur Investigation numérique (forensique)

Il faut collecter des preuves pour une enquête sur un serveur où un incident s'est produit. Quel ordre est le plus approprié selon le principe de collecter les preuves dans l'ordre de leur facilité à se perdre (ordre de volatilité) ?

  1. AContenu de la mémoire et état des connexions réseau en cours → contenu du disque → sauvegardes et archives stockées à l'extérieur
  2. BSauvegardes et archives stockées à l'extérieur → contenu du disque → contenu de la mémoire et état des connexions réseau en cours
  3. CContenu du disque → après mise hors tension, contenu de la mémoire et état des connexions réseau en cours → sauvegardes stockées à l'extérieur
Afficher la réponse et l'explication

Réponse : A. Contenu de la mémoire et état des connexions réseau en cours → contenu du disque → sauvegardes et archives stockées à l'extérieur

La RFC 3227 (2002), un guide pour la collecte de preuves en investigation numérique, recommande de collecter d'abord les données qui se perdent le plus facilement. Les registres et caches du CPU, le contenu de la mémoire, les processus en cours et l'état des connexions réseau se perdent avec le temps ou à la mise hors tension ; ils sont donc collectés en premier. La mémoire peut contenir un logiciel malveillant qui ne laisse rien sur le disque, ou des informations sous forme déchiffrée. Le contenu du disque est ensuite copié et examiné, et les sauvegardes et archives stockées à l'extérieur changent peu ; elles peuvent donc venir en dernier.

« Investigation numérique (forensique) » dans les explications

Questions mentionnant « Investigation numérique (forensique) » (1)

  1. Il faut collecter des preuves pour une enquête sur un serveur où un incident s'est produit. Quel ordre est le plus approprié selon le principe de collecter les preuves dans l'ordre de leur facilité à se perdre (ordre de volatilité) ?

Termes associés

Attaque par la chaîne d'approvisionnement Centre des opérations de sécurité Cyber Kill Chain EDR (endpoint detection and response) Indicateur de compromission (IoC) MITRE ATT&CK Mouvement latéral (lateral movement) Réponse aux incidents SBOM (nomenclature logicielle) SIEM (gestion des informations et des événements de sécurité)

Retour au glossaire