Méthodologie défensive
Forensique (DFIR)
Collecter et analyser les traces laissées sur une machine pour répondre à trois questions : comment l'attaquant est entré, ce qu'il a fait, et ce qu'il a emporté. Avec une règle d'or : ne jamais altérer la preuve.
DéfensifVolatilityKAPEOutils Eric Zimmerman
Principes
- Intégrité : travailler sur une copie, jamais sur l'original ; calculer le hash avant et après.
- Chaîne de possession : noter qui a manipulé la preuve, quand et pourquoi.
- Reproductibilité : documenter chaque outil, chaque version, chaque commande.
Ordre de volatilité
On collecte d'abord ce qui disparaît le plus vite (RFC 3227).
- Registres et cache du processeur
- Mémoire vive : processus, connexions réseau, table ARP, contenu déchiffré
- Fichiers temporaires et swap
- Disque
- Journaux distants et données de supervision
- Sauvegardes et archives
Analyse mémoire avec Volatility 3
vol -f mem.raw windows.info vol -f mem.raw windows.pslist vol -f mem.raw windows.pstree vol -f mem.raw windows.cmdline vol -f mem.raw windows.netscan vol -f mem.raw windows.malfind
Ce qu'on chercheUn processus au mauvais parent ou au mauvais chemin, un nom presque correct (
scvhost.exe), des connexions vers l'extérieur, des zones mémoire exécutables injectées (malfind).Artefacts Windows
| Artefact | Ce qu'il révèle |
|---|---|
| Prefetch | Programmes exécutés, nombre et dates d'exécution. |
| Amcache / Shimcache | Traces de présence ou d'exécution de binaires, avec hash (Amcache). |
| UserAssist, RecentDocs | Programmes lancés et fichiers ouverts par un utilisateur. |
| ShellBags | Dossiers parcourus dans l'explorateur, même supprimés depuis. |
| LNK et Jump Lists | Fichiers ouverts récemment, y compris sur supports amovibles. |
| $MFT, $UsnJrnl | Création, modification et suppression de fichiers sur NTFS. |
| SRUM | Consommation réseau par application : utile pour l'exfiltration. |
| Clés Run, services, tâches | Mécanismes de persistance. |
| Journaux .evtx | Voir la page Journaux Windows. |
Artefacts Linux
/var/log/auth.logou/var/log/secure: connexions, sudo, SSH.~/.bash_history: commandes saisies (si non effacé)./etc/crontab,/etc/cron.*, timers systemd : persistance.~/.ssh/authorized_keys: clés ajoutées./etc/passwd,/etc/shadow: comptes créés ou modifiés./tmp,/dev/shm: dépôts temporaires de fichiers.
Construire la chronologie
- CollecterKAPE ou Velociraptor pour récupérer les artefacts clés.
- ParserOutils d'Eric Zimmerman (MFTECmd, PECmd, EvtxECmd…).
- FusionnerUne seule timeline (Timeline Explorer, Plaso).
- PivoterPartir de l'heure suspecte et regarder autour.
Check-list de collecte
- Photographier / noter l'état de la machine et l'heure système
- Capturer la mémoire vive
- Collecter les artefacts volatils (connexions, processus) si la mémoire est impossible
- Réaliser une image disque ou une collecte ciblée
- Calculer les hash de chaque élément collecté
- Remplir la fiche de chaîne de possession
- Stocker les preuves en lieu sûr, en lecture seule