Investigation numérique (forensique)
Analyse technique d'un incident qui en établit le point d'entrée, la chronologie, l'étendue et les données touchées, et dont les conclusions décident de la garantie, des notifications et parfois de l'attribution.
L'investigation numérique regroupe les techniques qui permettent de reconstituer ce qui s'est passé lors d'un incident de sécurité : collecte et préservation des journaux, des images de disques et de la mémoire, analyse des logiciels malveillants, reconstitution de la chronologie de l'intrusion, identification des comptes compromis et des données consultées ou exfiltrées. Elle obéit à des règles de préservation de la preuve, parce que ses conclusions peuvent servir devant un juge. Dans un sinistre cyber, elle joue un rôle que peu d'autres expertises atteignent. Elle détermine si l'incident entre dans la définition de la garantie, s'il a commencé avant la date de reprise du passé, s'il exploite une vulnérabilité non corrigée visée par une exclusion. Elle fixe le périmètre des notifications obligatoires, puisque l'on ne notifie que les personnes dont les données ont été atteintes. Elle alimente l'attribution, lorsque les outils et méthodes relevés rattachent l'attaque à un groupe connu, éventuellement étatique. Et elle permet la restauration sans réinfection. Son coût, souvent de plusieurs centaines de milliers d'euros pour un incident sérieux, figure parmi les premières garanties de la police.
L'investigation menée après NotPetya en juin 2017 a établi que le code avait été introduit par la mise à jour piégée d'un logiciel de comptabilité ukrainien, M.E.Doc, dont le serveur de mise à jour avait été compromis des semaines plus tôt. Ce point d'entrée unique expliquait que les victimes soient des entreprises ayant une activité en Ukraine, et a nourri l'attribution à un service de renseignement russe.
digital forensics, forensic investigation, criminalistique numérique
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.