La station de travail Windows 11 WKS-ACCT-23 enregistre une connexion impossible le 14/10/2026 à 09:12 UTC, suivie de l’exécution de processus suspects jusqu’à 10:05 UTC. Un attaquant a peut-être simplement eu besoin d’identifiants valides et d’un moyen de connexion à distance, sans recourir à un logiciel malveillant provoquant une panne visible de la station. Dans le cadre autorisé de la réponse aux incidents, nous devons déterminer quelles informations peuvent être extraites du disque et de la mémoire, tout en préservant les preuves afin qu’un autre enquêteur puisse vérifier chaque conclusion. Les éléments de preuve sont EVD-2026-1014-001 (une image disque) et EVD-2026-1014-002 (une capture mémoire). Le schéma ci-dessous indique les étapes du parcours de la preuve où les contrôles de possession doivent être appliqués :
Ce schéma distingue le poste de travail d’origine de l’environnement de l’analyste et du coffre-fort de preuves. Chaque étape de transition (acquisition, transfert, stockage, analyse) présente un risque d’altération, de perte ou d’attribution erronée de la preuve ; il est donc nécessaire d’enregistrer, pour chaque étape, l’identité du responsable, l’horodatage, le lieu et la vérification d’intégrité.
Le processus d’investigation numérique transforme les deux fichiers collectés en conclusions solides et défendables grâce aux étapes suivantes : identification, préservation, collecte, examen, analyse et rapport. L’identification délimite le périmètre de l’incident, notamment la machine WKS-ACCT-23, la période suspecte et l’habilitation à manipuler l’appareil. La préservation empêche toute modification de la preuve originale. La collecte permet de créer des copies contrôlées. L’examen consiste à extraire des artefacts tels que les journaux d’événements Windows, les métadonnées des processus et les structures de mémoire. L’analyse relie ces artefacts aux hypothèses, tandis que le rapport distingue les conclusions étayées des questions restées sans réponse.
L’ordre de collecte est crucial, car les données volatiles disparaissent tant que le poste de travail reste sous tension. La norme RFC 3227 (BCP 55) établit le principe de l’ordre de volatilité : collecter en priorité les informations susceptibles de changer, puis passer aux preuves plus persistantes. Pour WKS-ACCT-23, la capture mémoire EVD-2026-1014-002 permet de préserver les processus en cours d’exécution, les connexions réseau et les identifiants présents en mémoire, éléments qu’un arrêt du système détruirait. L’image disque EVD-2026-1014-001 préserve les fichiers persistants et les métadonnées du système de fichiers, mais elle ne permet pas de reconstituer un processus qui s’est déjà terminé.
Omettre l’étape de préservation rompt la chaîne avant même le début de l’examen, car l’activité de l’analyste risque de modifier les horodatages ou d’écraser des artefacts temporaires. L’absence d’examen aboutit à une accumulation de données brutes sans extraction de preuves exploitables. L’absence d’analyse transforme l’observation d’artefacts en un récit non étayé. Ce processus n’impose pas que chaque incident suive strictement les mêmes étapes, mais tout écart doit être consigné en précisant le motif et les conséquences.
Règle d’examen
Capturez en priorité les preuves pertinentes les plus volatiles et documentez les raisons ayant nécessité un ordre différent.
Une fois les éléments EVD-2026-1014-001 et EVD-2026-1014-002 créés, la chaîne de possession (ou chaîne de garde) constitue l’historique chronologique indiquant la nature de chaque élément, les personnes l’ayant manipulé, son lieu de stockage et les modalités de vérification de son intégrité. L’enregistrement attribue des identifiants de preuve stables avant le début de l’analyse. Une description explicite permet de distinguer une image disque d’une capture de mémoire, tandis que les horodatages UTC permettent de faire correspondre les transferts à la période d’activité suspecte.
L’intégrité repose sur une empreinte cryptographique, c’est-à-dire une valeur de hachage de longueur fixe calculée à partir du fichier de preuve. Si l’image disque acquise génère une empreinte SHA-256 donnée et qu’une vérification ultérieure produit une empreinte différente, l’examinateur ne peut pas affirmer que le fichier est resté inchangé. Une erreur courante consiste à ne calculer l’empreinte qu’une seule fois, lors de l’acquisition. Nous vérifions l’empreinte lors de l’acquisition, avant et après le transfert, lors de la récupération de l’élément pour analyse et lors de son retour dans un espace de stockage sécurisé.
Les entrées relatives à la chaîne de possession pour les deux éléments de preuve présentent les informations minimales requises pour un examen ultérieur :