Preuves numériques et analyse forensique

Une preuve numérique est une information stockée ou transmise sous forme numérique qui permet d'établir un fait : une ligne de journal, un fichier, le contenu de la mémoire vive, une capture de trafic. L'analyse forensique (ou investigation numérique) consiste à identifier, collecter, préserver et analyser ces preuves pour comprendre un incident et pouvoir en tirer des conclusions, y compris devant un juge. Ce chapitre explique ce qui rend une trace utilisable comme preuve, l'ordre dans lequel on collecte, le rôle des empreintes, la chaîne de possession et les erreurs qui détruisent les preuves.

Pourquoi préserver les preuves

Dans l'urgence, la tentation est de tout remettre en marche au plus vite. Pourtant les preuves servent à plusieurs choses, souvent des semaines plus tard :

• comprendre l'attaque pour corriger la vraie faille et chercher les autres machines touchées ;
• déterminer ce qui a fuité, indispensable pour décider d'une notification à la CNIL et informer les personnes ;
• déposer plainte et permettre une enquête ;
• obtenir l'indemnisation de l'assureur, qui demandera des éléments ;
• se défendre : prouver qu'un salarié n'est pas l'auteur d'une action faite avec son compte volé, ou que l'organisation avait pris des mesures de sécurité raisonnables.

Ce qui fait une bonne preuve

La valeur juridique. En matière pénale, la preuve est libre : selon l'article 427 du Code de procédure pénale, hors les cas où la loi en dispose autrement, les infractions peuvent être établies par tout mode de preuve, et le juge décide d'après son intime conviction. Une preuve numérique est donc recevable, mais sa force dépend de la confiance qu'on peut lui accorder : une copie de journal dont on ne peut pas montrer qu'elle n'a pas été retouchée pèse peu. En matière civile, l'article 1366 du Code civil donne à l'écrit électronique la même force probante que l'écrit papier, à condition que l'on puisse identifier son auteur et qu'il soit établi et conservé dans des conditions qui garantissent son intégrité. Le règlement européen eIDAS encadre de son côté l'horodatage et la signature électroniques qualifiés, qui renforcent cette garantie.

L'ordre de volatilité

Toutes les traces ne durent pas le même temps. Le contenu de la mémoire vive disparaît à l'extinction ; une connexion réseau en cours, en quelques secondes ; un fichier sur le disque peut rester des années. On collecte donc du plus volatil au moins volatil, selon un ordre décrit par la RFC 3227 (2002), toujours utilisée comme référence.

En pratique, un technicien ne capture pas les registres du processeur. Ce qu'il retient : la mémoire vive d'abord (si la machine est allumée), puis le disque, puis les journaux, qui sont souvent déjà copiés sur le collecteur.

Les règles de collecte

1. Ne pas modifier l'original. On ne travaille jamais sur la machine ou le disque d'origine : on en fait une copie. Un disque se lit à travers un bloqueur d'écriture (un matériel qui empêche toute écriture) ou se monte en lecture seule. Même brancher un disque sur Windows peut modifier des dates de dernier accès.
2. Collecter dans l'ordre de volatilité, en notant l'heure de chaque opération.
3. Faire une copie intégrale, bit à bit (une image), y compris l'espace vide, où restent souvent des fichiers effacés.
4. Calculer une empreinte de l'original et de la copie, et vérifier qu'elles sont identiques.
5. Travailler sur une copie de la copie : l'image de référence reste scellée.
6. Tout documenter : qui, quand, où, comment, avec quel outil et quelle version, quelle heure affichait la machine par rapport à l'heure de référence.
7. Tenir la chaîne de possession du premier au dernier jour.

Calculer et vérifier une empreinte

Une fonction de hachage cryptographique transforme un contenu de n'importe quelle taille en une empreinte (hash, condensat) de taille fixe. Elle a trois propriétés utiles à la preuve :

• le même contenu donne toujours la même empreinte ;
• le moindre changement (un octet, un point ajouté) donne une empreinte totalement différente ;
• il est pratiquement impossible de fabriquer un autre contenu qui ait la même empreinte.

Démonstration avec deux fichiers qui ne diffèrent que par un point :

sha256sum facture.txt facture2.txt

a47457c9288412cb2ec6d96d1038a30ab849f21802e5aee628e6def95786bdaf  facture.txt
976ee051485de4aeee0ad7d10191d8b77461d0ab6c0a075c89a861396df17c3c  facture2.txt

Le premier contient la ligne Facture octobre 2026, le second Facture octobre 2026. : un seul caractère de plus, et rien en commun entre les deux empreintes.

On utilise SHA-256 (ou SHA-512). MD5 et SHA-1 sont cassés : on sait fabriquer deux contenus différents qui ont la même empreinte. Tu les croiseras encore dans des listes d'IOC, où ils servent à identifier un fichier, mais ils ne suffisent plus à garantir l'intégrité d'une preuve.

# Image bit à bit d'un disque (lu à travers un bloqueur d'écriture), puis empreintes
sudo dd if=/dev/sdb of=/mnt/preuves/srv-web.img bs=4M conv=noerror,sync status=progress
sudo sha256sum /dev/sdb /mnt/preuves/srv-web.img

Get-FileHash -Algorithm SHA256 E:\preuves\srv-web-instantane.vmdk

Les sources de preuves

La chaîne de possession

La chaîne de possession (chain of custody) retrace la vie d'une preuve, de sa collecte à sa présentation : qui l'a collectée, comment, où elle a été stockée, à qui elle a été remise, quand. Une rupture dans cette chaîne (une clé USB restée sur un bureau pendant deux jours, sans trace de qui l'a eue) permet à la partie adverse de contester la preuve.

Fiche tenue par Léa pour l'instantané de srv-web :

Ce qui détruit les preuves

Le cas du rançongiciel est particulier : s'il est encore en train de chiffrer, laisser la machine allumée aggrave les dégâts. Le guide de l'ANSSI recommande alors, si la machine le permet, la mise en veille prolongée (hibernation) : elle arrête le programme tout en écrivant la mémoire sur le disque, où elle pourra être analysée (chapitre 8).

Côté SLAM : les preuves dans l'application

Quand l'incident touche une application, les preuves sont aussi dans ses données et son code :

• les journaux applicatifs et la table de journal : on les exporte avec leur empreinte avant toute purge ou rotation ;
• la base de données : on en fait une copie (mysqldump, voir sauvegarder une base MySQL) avant de corriger les données falsifiées ou de supprimer les comptes créés par l'attaquant, sinon on efface la preuve de ce qu'il a fait ;
• le code en production : on le compare à la version du dépôt Git pour repérer les fichiers ajoutés ou modifiés, et on conserve une copie de la version compromise ;
• les sauvegardes : elles disent depuis quand un fichier malveillant est présent, ce qui date l'intrusion.

À l'E7

• SISR, métropole 2026 (U7), cas SPARCLE : le sujet définit l'analyse forensique en note de bas de page (identifier, collecter, préserver et analyser des preuves numériques, pour en tirer des conclusions exploitables juridiquement). La question A1.1 demande deux éléments qui pourraient rendre l'investigation difficile, à relever dans l'état des lieux : on y lit notamment qu'aucun serveur de centralisation des journaux n'existait et que le serveur infecté a été formaté et réinstallé par le prestataire habituel avant l'arrivée des enquêteurs.
• SLAM, métropole 2022 (alors E6, U6), cas Easy2Drive : le critère de preuve (traçabilité) s'ajoute à la disponibilité, à l'intégrité et à la confidentialité dans l'évaluation des besoins de sécurité, et il faut justifier pourquoi un récit utilisateur en demande plus qu'un autre.

Pour aller plus loin. L'empreinte SHA-256 qui scelle une preuve est expliquée dans le chapitre Fonction de hachage du cours Cryptographie, et la valeur juridique de l'écrit électronique dans le chapitre Preuve et signature électroniques du cours Droit et RGPD.

Exercices