Analyse forensique

Digital forensics : investigation numérique sur les traces d’une attaque

D’où vient le mot

Du latin forensis, « du forum » : ce qui se débat en public. L’anglais en a fait forensic, et le français l’a repris tel quel dans son vocabulaire technique ; l’Université de Lausanne l’emploie dans l’intitulé de son master en science forensique, qui comporte une orientation consacrée à l’investigation numérique. Les équipes qui interviennent après une attaque parlent souvent de DFIR, pour digital forensics and incident response : l’analyse et la réponse vont ensemble.

Travailler sur une copie, jamais sur l’original

Le premier principe est de ne rien modifier. On copie les disques bit à bit, on calcule une empreinte qui permettra de montrer que la copie est fidèle, et l’on n’analyse que la copie. La mémoire vive passe en premier, parce qu’elle disparaît à l’extinction : c’est souvent là que se trouvent le code de l’attaquant et ses connexions en cours. Éteindre par réflexe une machine compromise, c’est effacer une partie de ce que l’on cherchera ensuite.

Ce que l’on reconstitue

Une chronologie, à la minute près : le premier accès, les comptes utilisés, les machines traversées, les fichiers ouverts, copiés ou chiffrés, les connexions vers l’extérieur. Les sources se complètent : journaux des serveurs et du pare-feu, historique des connexions, traces laissées sur les disques, messagerie, services en ligne. C’est cette chronologie qui dit si des données personnelles sont sorties, et donc s’il y a une annonce à faire.

Tourner la page en connaissance de cause

Une analyse bien menée remplace les hypothèses par des faits. On ferme la porte réellement utilisée, et pas seulement celle que l’on soupçonne ; on sait ce qu’il faut restaurer et ce qui peut rester en place ; on peut dire aux clients et aux partenaires ce qui les concerne, et ce qui ne les concerne pas. C’est à ce prix que l’on reprend le travail sans craindre que l’attaquant soit encore dans les murs.

Mise à jour : 27 septembre 2026