Forensics : comprendre ce qui s'est vraiment passé

6 minutes de lecture

Une fois un incident contenu, une question reste souvent sans réponse : comment l'attaquant est-il entré, et qu'a-t-il fait exactement pendant qu'il était là ? C'est le rôle de l'investigation numérique, ou forensics.

01La situation en clair

Face à un incident de sécurité, l'urgence pousse naturellement à vouloir tout nettoyer et redémarrer au plus vite. C'est une erreur fréquente : sans comprendre précisément le chemin emprunté par l'attaquant, rien ne garantit que la porte d'entrée reste fermée après le nettoyage. Le forensics est la discipline qui consiste à examiner méthodiquement les traces laissées par un incident pour reconstituer son déroulé exact.

Cette discipline emprunte ses méthodes à l'enquête judiciaire classique : préserver les preuves sans les altérer, documenter chaque étape, garantir que les conclusions pourront être vérifiées et, si nécessaire, présentées devant une autorité ou une assurance.

02Pourquoi ça compte

Sans investigation, une organisation qui subit un incident répare les symptômes visibles sans jamais savoir si la cause profonde a bien été traitée. Il n'est pas rare qu'une même organisation, faute d'avoir compris le chemin d'entrée initial, subisse une seconde attaque similaire quelques semaines plus tard.

03Ce qu'il faut faire

1. 1

   Ne redémarrez pas précipitamment les systèmes touchés

   Éteindre ou redémarrer une machine compromise peut effacer des informations précieuses en mémoire, nécessaires à la compréhension de l'incident. Isolez plutôt la machine du réseau sans l'éteindre, en attendant l'analyse.

2. 2

   Conservez une trace de tout, dès le début

   L'heure de détection, les actions entreprises, les personnes prévenues : documenter en temps réel, même sommairement, évite de devoir reconstituer la chronologie de mémoire une fois la pression retombée, avec les approximations que cela implique.

3. 3

   Faites appel à des compétences spécialisées si l'incident est significatif

   L'investigation numérique demande des méthodes et des outils précis pour garantir que les preuves collectées restent exploitables, y compris juridiquement. Pour un incident dépassant le mineur, un accompagnement spécialisé évite de détruire par erreur des informations essentielles.

4. 4

   Tirez des enseignements concrets, pas seulement un rapport

   Une investigation qui se termine par un document jamais relu n'a que peu de valeur. Traduisez les conclusions en actions correctives précises, et vérifiez qu'elles sont réellement mises en œuvre.