Outils d'utilisateurs

Outils du Site


app_forensic

Ceci est une ancienne révision du document !


Forensic (Méthodologie et Outils Libres)

Le Forensic (sous entendu Computer Forensic), en français appelé analyse forensique ou plus souvent investigation numérique, est l'art et la technique d'analyser un système mort (ordinateur, téléphone portable …) dans le but d'en sortir les éléments de preuves.

La méthodologie générale est la suivante:

  1. sécuriser la preuve (le plus souvent en réalisant une image disque)
  2. effectuer les étapes de pré-traitement
  3. lancer les recherches
  4. générer un rapport et faire l'extraction des éléments pertinents

Dans les challenges on trouve généralement des fichiers .pcap corresponadnt à la capture de trafic réseau sujet abordé en fin d'article/page.

Sécurisation de la preuve

Le but est de préserver la preuve, c'est-à-dire qu'un branchement du support à analyser sur un système standard n'est pas envisageable. Plusieurs solutions sont envisageables :

  1. l'utilisation de bloqueurs en écriture matériels (ex: Tableau T35es, T8, …)
  2. l'utilisation de système de duplication spécialisé (ex: ICS SOLO 4, Tableau TD3)
  3. l'utilisation de distribution linux dédiée (ex: Caine, DEFT, SIFT, Helix, BackTrack en mode Forensic…)

Sur les distribution linux grand-public le fait de connecter un disque peut entraîner son montage automatique, il faut faire attention à ne pas entrer de ce type de comportement. L'intégrité de la preuve peut être compromise. Un distribution dédiée (cf. liste ci-dessus) est vivement conseillée. La copie du disque peut être effectuée à l'aide de la commande:

dd if=/dev/nom_du_disque_à_copier of=nom_de_l'image bs=1024

en ayant pris soin, au préalable, de vérifier quel sont les noms attribués aux disques avec la commande:

 sudo fdisk -l

Pré-traitement

Data Carving

  1. Scalpel
  2. Foremost
  3. PhotoRec
  4. Recover JPEG

Analyse du système et de ses artefacts

  1. log2timeline
  2. vinetto (thumbs.db)
  3. galleta (cookie parser)
  4. libevt (evt parser)
  5. liblnk (lnk parser)
  6. rifiuti (INFO2 parser)

Recherche

GREP

Génération de rapport

Autres infos

Other tools / Frameworks

  1. The Sleuth Kit
  2. Digital Forensic Framework
  3. libewf
  4. libpst

Analyse Capture de Trafic Réseau

voir article sur Wireshark

app_forensic.1340713916.txt.gz · Dernière modification: 2017/04/09 15:33 (modification externe)