cours

Nagib lakhdari - Cours forensique 30/01/25

Un peu de théorie.


Le forensique (ou criminalistique) est une discipline qui vise à analyser des preuves scientifiques pour résoudre des enquêtes criminelles, juridiques ou informatiques. Voici un résumé rapide de ses fonctions, son intervention et ses risques :

📌 À quoi sert le forensique ?

Il permet de :

🕵️ Que fait-il ?
⏳ Quand intervient-il ?
⚠️ Les risques ?
  1. Preuves falsifiées ou mal interprétées.
  2. Données perdues ou corrompues si mal manipulées.
  3. Violations de la vie privée (intrusion abusive dans les systèmes informatiques).
  4. Pressions ou menaces contre les experts forensiques.

À quoi ressemble un disque dur ? 

Sans titre.png

Pour les fichiers systèmes : 

1. Partition Table (Table des partitions)
2. Boot Sector (Secteur de démarrage)
3. Directories (Dossiers)
4. Files (Fichiers)
5. File Allocation Table (Table d'allocation des fichiers)
6. Metadata (Métadonnées)
7. Free Space (Espace libre)
8. Journaling (Journalisation - optionnel selon le système de fichiers)

Pour la partie RECOVERY :

1. Qu’est-ce que la partition Recovery ?
2. Que contient la partition Recovery ?

Elle contient tout ce qu’il faut pour remettre le système à neuf :

  1. Image du système d’exploitation (OS) : Une copie complète (ou "image") de Windows, Linux, etc.
  2. Outils de réparation : Programmes pour :
    • Réparer le démarrage.
    • Scanner le disque pour les erreurs.
    • Restaurer le système.
  3. Drivers : Pilotes essentiels pour le matériel (carte réseau, graphique, etc.).
  4. Applications préinstallées : Programmes installés par le fabricant (souvent pas indispensables… mais présents !).
3. Où se trouve cette partition ?
4. Comment fonctionne le Recovery ?
5. Pourquoi est-elle importante ?

Concernant le MFT :

1. Où se trouve le MFT ?
2. Que contient le MFT ?

Le MFT est une sorte de "base de données" contenant un enregistrement pour chaque fichier et dossier sur le disque. Chaque entrée contient :

3. Pourquoi le MFT est-il important ?

Et le formatage dans tout ça ?

1. Qu’est-ce que le formatage de bas niveau ?
2. Pourquoi réécrire bit par bit ?

Quand tu écrases un disque :

3. La règle des 35 passes
4. Pourquoi 35 passes, et est-ce encore utile aujourd’hui ?
Pourquoi 35 fois ?

Aujourd’hui, ce n’est plus nécessaire !

5. Comment fonctionne un formatage de bas niveau aujourd’hui ?
  1. Réécriture simple (1 passe) :
    • Les outils écrivent tous des 0, ou tous des 1, sur tout le disque.
    • Déjà suffisant pour éliminer la plupart des données.
  2. Réécriture aléatoire (2-3 passes) :
    • Les outils écrivent des combinaisons de 0 et 1 aléatoires pour rendre encore plus difficile toute récupération.
    • C’est recommandé pour les disques durs classiques si on veut de la sécurité supplémentaire.
6. Et pour les SSD ?
7. Pourquoi ce n’est plus d’actualité ?

Nos systèmes de fichiers aujourd'hui :

1. NTFS (New Technology File System)
2. FAT32 (File Allocation Table 32-bit)
3. exFAT (Extended FAT)
4. EXT4 (Fourth Extended File System)
5. APFS (Apple File System)
6. HFS+ (Hierarchical File System Plus)
7. Btrfs (B-Tree File System)
8. ZFS (Zettabyte File System)
9. ReFS (Resilient File System)

Processus de démarrage d'un système d'exploitation (Boot Process) :

Les étapes chronologiques du démarrage d’un ordinateur, depuis l’allumage jusqu’à l’exécution du système d’exploitation.

Screenshot_148.jpg

1. Alimentation (⚡️)
2. BIOS/UEFI
3. POST (Power-On Self Test)
4. Sélection du périphérique de démarrage
5. MBR (Master Boot Record)
6. VBR (Volume Boot Record)
7. BOOTMGR (Windows Boot Manager)
8. KERNEL32 / Ancêtres comme NTLDR.exe



Que faire en cas de ransomware (ou autre attaque ?) :

Cas de ransomware :

  1. Mesures immédiates :

    • Couper immédiatement le réseau pour isoler les machines.
    • Ne pas éteindre le PC :
      • Sauvegarder la mémoire volatile.
      • Éviter de générer de nouveaux logs qui pourraient écraser des données importantes.

  2. Objectif :

    • L'analyse forensique consiste à collecter, préserver, examiner et interpréter des preuves numériques.
Gestion de crise (technique) :

  1. Étapes principales :

    • Dump de la RAM en priorité, puis dump du disque.
    • Noter :
      • L’heure de sa montre.
      • L’heure affichée sur l’ordinateur pour chaque action (ex. : branchement d’un disque, début du dump, etc.).
    • Effectuer un dump bit à bit :
      • Archiver les données sans compression (ex. : avec tar en mode zéro compression).

  2. Pourquoi analyser la RAM en premier ?

    • La RAM est plus légère à analyser avec moins de fichiers dumpés.
    • Contient des données essentielles comme des sessions, clés de chiffrement ou indicateurs pouvant guider l’analyse du disque.

 

Outils pour la forensic :

  1. Pour le dump de données :

    • dd : Pour copier bit à bit.
    • testdisk : Pour retrouver des partitions perdues.
    • photorec : Pour récupérer des fichiers supprimés.
    • hexedit : Pour analyser ou modifier des données hexadécimales.

  2. Commande pour dumper un disque avec dd :

#windows
dd.exe if=\\?\Device\Harddisk0\Partition0 of=Z:\disk.raw --progress bs=17408 
#linux
dd if=/dev/sdX of=/path/to/dump.raw bs=512 status=progress

Explication :
if= : Fichier d’entrée (ici, un chemin de disque en norme Microsoft - Win32 Device Paths).
of= : Fichier de sortie (le dump du disque).
--progress : Affiche une barre de progression.
bs= : Taille de bloc (ici, 17408 octets pour améliorer la vitesse, au lieu des 512 octets par défaut).

Analyse d’un dump disque :



Liste des outils nécessaires à la forensique numérique

1. Outils pour la collecte de données :
2. Outils pour l’analyse des disques et partitions :

hexedit ou HxD :

3. Outils pour l’analyse de la RAM :
4. Outils pour la gestion des bases de registre Windows :
5. Outils pour la gestion des hashes et mots de passe :
6. Outils réseau pour l’analyse forensique :