Ceci est une ancienne révision du document !
Le Forensic (sous entendu Computer Forensic), en français appelé analyse forensique ou plus souvent investigation numérique, est l'art et la technique d'analyser un système mort (ordinateur, téléphone portable …) dans le but d'en sortir les éléments de preuves.
La méthodologie générale est la suivante:
Dans les challenges on trouve généralement des fichiers .pcap corresponadnt à la capture de trafic réseau sujet abordé en fin d'article/page.
Le but est de préserver la preuve, c'est-à-dire qu'un branchement du support à analyser sur un système standard n'est pas envisageable. Plusieurs solutions sont envisageables :
Sur les distribution linux grand-public le fait de connecter un disque peut entraîner son montage automatique, il faut faire attention à ne pas entrer de ce type de comportement. L'intégrité de la preuve peut être compromise. Un distribution dédiée (cf. liste ci-dessus) est vivement conseillée. La copie du disque peut être effectuée à l'aide de la commande:
dd if=/dev/nom_du_disque_à_copier of=nom_de_l'image bs=1024
en ayant pris soin, au préalable, de vérifier quel sont les noms attribués aux disques avec la commande:
sudo fdisk -l
GREP
voir article sur volatility
voir article sur Wireshark