Acquisition forensique : copie, sauvegarde ou image forensique ?
Toutes les copies de données ne répondent pas au même objectif. Une sauvegarde peut être suffisante pour restaurer un système, alors qu’une expertise peut nécessiter une acquisition documentée, vérifiable et adaptée aux données recherchées.
Pourquoi la distinction est importante
Une copie effectuée avec l’explorateur de fichiers, une sauvegarde créée par un logiciel et une acquisition forensique peuvent contenir des données différentes. Le choix dépend du support, de la question posée, du cadre de la mission et du niveau de reproductibilité recherché.
Dans une expertise, l’enjeu n’est pas seulement de « récupérer des fichiers ». Il faut pouvoir expliquer d’où proviennent les données, comment elles ont été acquises, avec quel outil, à quelle date, quelles limites ont été rencontrées et comment leur intégrité a été contrôlée.
La copie simple de fichiers
Une copie simple porte généralement sur des fichiers ou dossiers accessibles à l’utilisateur. Elle peut convenir lorsqu’un nombre limité de documents précisément identifiés doit être conservé. En revanche, elle ne représente pas nécessairement les espaces non alloués, les données système, certains journaux, les fichiers masqués ou les informations propres au système de fichiers.
Selon la méthode employée, certaines métadonnées peuvent également être modifiées lors de la copie. La copie simple n’est donc ni « mauvaise » ni « forensique » par nature : elle répond simplement à un périmètre plus restreint qui doit être assumé et documenté.
La sauvegarde
Une sauvegarde est conçue avant tout pour restaurer des données ou un environnement. Le système qui la produit peut sélectionner les catégories de données, exclure certains fichiers temporaires, chiffrer le contenu, modifier sa structure ou ne conserver que l’état logique connu de l’application.
Une sauvegarde peut être extrêmement utile dans une investigation, notamment lorsqu’elle constitue la seule source disponible. Elle ne doit toutefois pas être automatiquement présentée comme une image complète du support d’origine.
L’acquisition forensique
Une acquisition forensique vise à recueillir des données selon une méthode qui préserve leur valeur technique et permet d’en contrôler l’intégrité. Le SWGDE recommande notamment de documenter l’identification du support, la source des données, le type d’acquisition, l’outil et sa version, la date et l’heure, les erreurs rencontrées et les valeurs de hachage lorsque celles-ci sont utilisées.
Selon le support, l’acquisition peut être physique, logique, ciblée ou réalisée sur un système actif. Une image de support au niveau des secteurs peut être pertinente pour certains disques, tandis qu’un terminal moderne, un système chiffré, un stockage réseau ou une plateforme cloud nécessiteront d’autres méthodes.
Image physique, acquisition logique et collecte ciblée
- Image physique ou bas niveau : vise à reproduire une étendue très large du support lorsque la technologie le permet.
- Acquisition logique : collecte les fichiers, objets ou données accessibles par le système ou une interface prévue à cet effet.
- Collecte ciblée : limite volontairement l’acquisition à des catégories, répertoires, périodes ou utilisateurs définis par la mission.
Aucune de ces méthodes n’est universellement supérieure. La meilleure approche est celle qui est techniquement justifiée, proportionnée au périmètre et correctement documentée.
Empreintes numériques : ce qu’elles démontrent réellement
Une fonction de hachage cryptographique permet de calculer une empreinte à partir d’un ensemble de données. Comparer les empreintes d’une acquisition à différents moments aide à vérifier que le contenu concerné n’a pas changé. Le NIST et le SWGDE recommandent ce type de contrôle pour les données acquises lorsque cela est applicable.
Une empreinte ne prouve toutefois pas, à elle seule, qui a créé un fichier, à quelle date il a été produit ni si son contenu est exact. Elle participe à la vérification de l’intégrité d’un objet numérique identifié ; elle ne remplace ni le contexte ni la chaîne de conservation.
Pourquoi travailler sur une copie
Après acquisition et vérification, les bonnes pratiques recommandent de conserver les données de référence et d’effectuer l’examen sur une copie de travail. Cette séparation réduit le risque qu’une opération d’analyse modifie l’ensemble servant de référence.
Cas particulier des systèmes actifs
Une acquisition sur un système en fonctionnement peut être nécessaire pour recueillir des informations volatiles, accéder à des données déchiffrées ou limiter l’interruption d’un service. Mais toute interaction avec un système actif peut créer ou modifier des données. Ces changements doivent être limités et documentés.
Références techniques
SWGDE — Best Practices for Computer Forensic Acquisitions
NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response
Questions fréquentes
Une copie de fichiers peut-elle être suffisante ?
Oui, lorsque la mission porte précisément sur ces fichiers et que le mode de collecte est adapté. Il faut simplement éviter de lui attribuer un périmètre plus large que celui réellement acquis.
Une image forensique récupère-t-elle toutes les données supprimées ?
Non. L’écrasement, le TRIM, le chiffrement, le fonctionnement des SSD et d’autres mécanismes peuvent rendre certaines données indisponibles même après une acquisition complète du support accessible.
Pourquoi noter la version de l’outil d’acquisition ?
Parce que les capacités, formats et comportements peuvent varier selon les versions. Cette information participe à la reproductibilité et à la compréhension des résultats.
Une empreinte numérique (hash) suffit-elle à établir la chaîne de conservation ?
Non. Une empreinte numérique (hash) permet de contrôler l’intégrité d’un ensemble de données ; la chaîne de conservation documente également l’identification, les personnes, les transferts, les dates et les conditions de stockage.
Pour aller plus loin
Ressources et expertises directement liées à cette méthode.