Définition de la criminalistique numérique
Qu’est-ce que la criminalistique numérique ?
La criminalistique numérique désigne la réalisation d’une enquête sur des preuves numériques après un incident de cybersécurité. Par exemple, si une organisation a subi une violation de données, l’entreprise mènera des activités de criminalistique pour déterminer la cause de la brèche, les systèmes touchés et l’ampleur de la fuite.
Le terme criminalistique numérique évoque les procédures des forces de l’ordre et la collecte de preuves en vue de poursuites judiciaires. Bien qu’il s’agisse d’une application possible de la criminalistique numérique, les organisations peuvent utiliser les mêmes outils, techniques et procédures pour recueillir des données à des fins internes ou pour préparer une réclamation d’assurance.
Le processus d’analyse en criminalistique numérique
La criminalistique numérique est axée sur la collecte et l’analyse de preuves associées à un crime ou à un incident de sécurité potentiel. Pour cette raison, il est d’une importance capitale que les preuves recueillies soient complètes et n’aient pas été altérées.
Au cours d’une enquête de criminalistique, les enquêteurs peuvent effectuer les étapes suivantes :
- Identification et collecte : Il existe plusieurs sources où un enquêteur en criminalistique peut obtenir ses preuves. Parmi les exemples courants, on retrouve les ordinateurs, les téléphones intelligents, les supports amovibles et d’autres actifs TI comme les imprimantes ou les routeurs réseau.
- Préservation : Les enquêteurs en criminalistique numérique devraient prendre des mesures pour garantir l’intégrité des preuves recueillies. Par exemple, les fonctions de hachage sont couramment utilisées pour générer un condensé infalsifiable des données. Les enquêteurs devraient aussi recourir à un stockage sécurisé des preuves et maintenir la chaîne de possession afin de protéger les preuves contre toute altération potentielle.
- Analyse : Une fois les preuves recueillies, les enquêteurs commencent à chercher des éléments liés à l’incident en question. Par exemple, une enquête sur un rançongiciel peut comprendre l’analyse de fichiers pour identifier le maliciel et repérer les fichiers touchés. L’analyse est habituellement effectuée sur des copies des données afin de se prémunir contre une contamination potentielle des preuves.
- Reconstitution : À partir des données recueillies durant l’étape d’analyse, les enquêteurs peuvent commencer à déterminer ce qui s’est passé. À ce stade, ils peuvent établir une chronologie et chercher des preuves pour étayer des hypothèses ou combler des lacunes.
- Rapport : Une enquête de criminalistique se conclut par un rapport final. Celui-ci devrait décrire les actions des enquêteurs et fournir une description complète de ce qui s’est produit — ou non —, accompagnée des preuves à l’appui.
L’admissibilité en criminalistique numérique
Dans certains cas, des enquêtes de criminalistique numérique peuvent être menées pour appuyer une affaire judiciaire en cours ou à venir. Toutefois, même si ce n’est pas le cas, les règles d’admissibilité des preuves demeurent une pratique exemplaire. Les exigences comprennent :
- Intégrité : Les preuves ne doivent pas avoir été modifiées depuis leur collecte initiale.
- Authenticité : La chaîne de possession doit être documentée et traçable jusqu’à la collecte initiale, et les preuves ne doivent pas avoir été altérées.
- Pertinence : Les preuves sont pertinentes pour l’enquête.
- Obtention légale : Les preuves ne peuvent pas avoir été obtenues illégalement.
- Force probante : Les preuves doivent être complètes et appuyer la séquence des événements proposée par l’enquêteur.
Conclusion
L’analyse en criminalistique numérique est le processus consistant à enquêter sur un incident et à recueillir des preuves. Ces preuves peuvent servir dans une affaire judiciaire, appuyer les efforts de réponse aux incidents d’une organisation ou s’inscrire dans une réclamation d’assurance.
Howard Poston
Howard Poston est rédacteur, auteur et concepteur de cours possédant de l’expérience en cybersécurité et en sécurité des chaînes de blocs, en cryptographie et en analyse de maliciels. Il détient une maîtrise en cyberopérations, cumule une décennie d’expérience en cybersécurité et compte plus de cinq ans d’expérience à titre de consultant indépendant.