Analyse des systèmes
Examen des systèmes, comptes, applications, journaux et supports associés.
Investigation numérique
Recherche, acquisition, préservation et analyse des traces numériques utiles à la compréhension d’un fait, d’un incident ou d’un litige.
Champs de l’investigation numérique
Chronologie des événements
Reconstitution temporelle à partir des horodatages et des traces disponibles.
Messageries et communications
Analyse des artefacts de communication et des données applicatives lorsque leur accès est techniquement possible.
Données supprimées
Recherche de données effacées ou détériorées lorsque leur récupération demeure possible.
Méthodologie d’investigation
L’analyse est conduite à partir d’objectifs techniques identifiés et d’un périmètre explicite.
1
CadrageDéfinition des objectifs, supports, périodes et hypothèses utiles.
2
AcquisitionCollecte des données selon la nature des équipements concernés.
3
PréservationMesures de préservation de l’intégrité et de traçabilité des éléments.
4
AnalyseExamen, recherche ciblée et corrélation des traces utiles.
5
RestitutionRapport distinguant résultats, interprétations et limites.
Champs d’analyse
Documents et fichiersFichiers, propriétés, métadonnées, archives et contenus techniques.
Navigation webHistoriques, téléchargements, caches et données de navigation.
Comptes utilisateursProfils, sessions, activités et éléments de configuration.
Fichiers supprimésRecherche de données effacées et analyse des espaces disponibles.
Journaux systèmeÉvénements, erreurs, traces d’activité et bases applicatives.
Recherche cibléeMots-clés, périodes, utilisateurs, fichiers ou événements déterminés.
Questions fréquentes
Qu’est-ce qu’une investigation numérique ?
Il s’agit d’une démarche technique visant à rechercher, acquérir, préserver et analyser des données ou traces numériques afin de répondre aux questions définies par la mission.
Peut-on récupérer toutes les données supprimées ?
Non. La récupération dépend notamment du support, du système de fichiers, du chiffrement, de l’utilisation du support après suppression et des mécanismes internes de stockage.
Les limites techniques sont-elles indiquées ?
Oui. Le rapport doit préciser les méthodes utilisées, les constatations effectuées et les limites techniques susceptibles d’affecter l’analyse ou son interprétation.
Ressources de référence
Des guides du Laboratoire ANT2 pour préparer et documenter les opérations numériques.
Principales zones d’intervention
Le laboratoire intervient en Provence-Alpes-Côte d’Azur et, selon la mission, sur l’ensemble du territoire national.