Les ordinateurs stockent bien plus d'informations qu'il n'y paraît au premier abord. Les systèmes d'exploitation, les systèmes de fichiers, les applications, les navigateurs, les comptes d'utilisateurs, les périphériques de stockage externes et les journaux système peuvent laisser des traces numériques permettant de reconstituer techniquement des processus, parfois longtemps après qu'un événement se soit produit.

Les services d'informatique légale de LB Forensik se concentrent sur la sécurisation, l'analyse et l'évaluation professionnelles des traces numériques sur les PC Windows, les ordinateurs portables, les systèmes Apple Mac, les disques durs, les SSD et autres supports de stockage.

Selon la question posée, il est possible, par exemple, d'enquêter sur les fichiers présents ou supprimés, sur le moment où certaines activités de l'utilisateur ont eu lieu, sur les périphériques de stockage externes connectés, sur les activités Internet qui peuvent être retracées, ou encore de rechercher des indices techniques de logiciels malveillants, de manipulation ou d'accès non autorisé.

Le facteur déterminant n'est pas la quantité maximale de données extraites. L'objectif d'une enquête forensique est d'apporter une réponse techniquement vérifiable à la question de preuve précise posée.

Nous expliquons plus en détail les exigences fondamentales relatives aux preuves numériques dans l'article « Intégrité des preuves numériques » . Dans les enquêtes impliquant également des smartphones ou des tablettes, l'analyse informatique peut être combinée à notre expertise en criminalistique mobile .

Qu'est-ce que l'informatique légale ?

L'informatique légale est une branche de l'informatique légale. Elle traite de la sécurisation, de l'examen, de la reconstruction et de l'évaluation structurées des traces numériques sur les ordinateurs et leurs systèmes de stockage associés.

Les objets de l'enquête peuvent inclure, entre autres, des ordinateurs de bureau, des ordinateurs portables, des MacBook, des disques durs, des SSD, des périphériques de stockage USB, des cartes mémoire, des disques externes ou des données sélectionnées de serveurs et de réseaux.

Une enquête professionnelle commence par une question clairement définie :

Quelles traces numériques permettent techniquement de confirmer, d'infirmer ou de reconstituer un processus spécifique dans le temps ?

Ce n'est qu'alors que l'on détermine quels systèmes doivent être sécurisés et quels éléments de preuve doivent être examinés.

À quelles questions l'informatique légale peut-elle répondre ?

En fonction des données disponibles et de l'étendue de l'enquête, les éléments suivants peuvent être examinés, entre autres :

• quels fichiers étaient présents sur un ordinateur,
• lors de la création, de la modification ou de la suppression de fichiers,
• si les données supprimées peuvent encore être récupérées,
• quels comptes d'utilisateurs ont été utilisés,
• quels programmes ont été exécutés ou installés,
• Quels périphériques de stockage externes étaient connectés ?
• quelles activités Internet et de navigation peuvent être suivies,
• s'il existe des indices d'accès non autorisé,
• qu'il existe des traces techniques de logiciels malveillants,
• que les fichiers aient pu être copiés ou transférés vers des périphériques de stockage externes,
• que les manipulations ou les suppressions soient traçables,
• Quels événements sont liés dans le temps ?

Il est impossible de répondre à toutes les questions à partir d'un seul élément. Souvent, une vision technique globale et fiable ne se dégage que de la corrélation de plusieurs sources de données indépendantes.

Conservation forensique d'un ordinateur

Une analyse informatique doit fondamentalement faire la distinction entre la sécurisation du système d'origine et l'analyse ultérieure.

Dans les cas appropriés, une sauvegarde forensique des supports ou ensembles de données pertinents est d'abord créée. L'analyse ultérieure est ensuite effectuée, si possible, sur la sauvegarde ou sur une copie de travail désignée.

L'objectif est d'éviter que le système d'origine ne soit altéré par des investigations inutiles.

Le choix de la méthode de sauvegarde appropriée dépend de l'état du système, du chiffrement, du type de support de données et de la question de preuve spécifique.

Analyse forensique des disques durs

Les disques durs traditionnels peuvent contenir une quantité considérable d'informations médico-légales.

En plus des fichiers actuellement visibles, selon le système de fichiers et l'utilisation ultérieure, des fichiers supprimés, des structures de système de fichiers, des métadonnées et d'autres artefacts numériques peuvent également être présents.

L'analyse d'un disque dur peut donc aller bien au-delà de la simple ouverture des dossiers et fichiers visibles.

Analyse forensique des SSD

L'examen des SSD modernes diffère sur des points importants de celui des disques durs magnétiques classiques.

Des technologies telles que l'équilibrage de l'usure, le ramassage des déchets et TRIM influencent la manière dont les données sont stockées en interne et traitées après les processus de suppression.

L'hypothèse largement répandue selon laquelle les fichiers supprimés peuvent être récupérés d'un SSD de la même manière que d'un disque dur traditionnel est donc techniquement erronée.

Même si le contenu des fichiers ne peut plus être reconstitué, d'autres éléments peuvent prouver l'existence de fichiers, d'applications ou de certaines activités.

analyse forensique du système de fichiers

Les systèmes de fichiers organisent les fichiers, les répertoires et les métadonnées associées.

Selon le système d'exploitation et le support de stockage, différents systèmes de fichiers peuvent être pertinents.

L'analyse peut fournir des informations sur les fichiers, les structures de répertoires, les horodatages et autres artefacts du système de fichiers.

Il faut tenir compte du fait que différents horodatages ont des significations techniques différentes et peuvent être modifiés par divers processus système.

Analyse forensique Windows

Les systèmes Windows génèrent de nombreux artefacts numériques lors de leur utilisation.

Selon la question posée, les informations pertinentes peuvent inclure les profils utilisateur, les données du registre, les journaux d'événements, les informations du système de fichiers, les raccourcis, les artefacts d'exécution de programmes, les données du navigateur et les informations sur les appareils connectés.

En combinant plusieurs de ces sources, certaines activités des utilisateurs et du système peuvent être reconstituées chronologiquement.

Analyse forensique des Mac et macOS

Les systèmes Apple contiennent également de nombreuses sources de données pertinentes en matière d'analyse forensique.

Lors de l'examen des systèmes Mac, MacBook et macOS, une attention particulière doit être portée au système de fichiers utilisé, aux mécanismes de sécurité, aux comptes d'utilisateurs et à tout éventuel chiffrement du disque.

Les systèmes Apple modernes diffèrent considérablement des PC Windows classiques au niveau de leurs spécifications techniques. Par conséquent, la stratégie de sauvegarde doit être adaptée à la génération de matériel et de système d'exploitation concernée.

Analyse forensique Linux

Les systèmes Linux peuvent être particulièrement pertinents pour les serveurs, les environnements de développement et les espaces de travail techniques.

En fonction de la distribution et de la configuration, il est possible d'examiner les journaux système, les informations utilisateur, l'historique des commandes, les artefacts du système de fichiers, les fichiers de configuration et d'autres données techniques.

Les traces présentes dépendent fortement de la configuration spécifique du système.

Analyse forensique de la RAM et données volatiles

Toutes les informations pertinentes ne sont pas stockées de manière permanente sur un disque dur ou un SSD.

Un ordinateur en fonctionnement peut contenir des informations volatiles dans sa mémoire.

En fonction de l'état du système et de l'objectif de l'enquête, la sauvegarde de la mémoire de travail peut donc s'avérer pertinente.

Les données de la RAM peuvent contenir des informations sur les processus en cours d'exécution, les connexions réseau ou d'autres états du système actifs au moment de la sauvegarde.

Ces informations sont systématiquement perdues lorsque le système est mis hors tension.

Analyse forensique en direct ou système hors tension ?

La décision de couper le fonctionnement d'un ordinateur ou de l'examiner et de le sécuriser pendant qu'il est en marche peut avoir des conséquences importantes sur les preuves.

Un système en fonctionnement peut contenir des informations volatiles. Parallèlement, chaque interaction avec un ordinateur en fonctionnement modifie son état.

Dans les systèmes chiffrés, il peut également être pertinent de savoir si un support de données est déjà monté à l'état déchiffré au moment concerné.

Il n'existe donc pas de recommandation unique et valable dans tous les cas.

En cas d'incident spécifique impliquant des preuves ou des problèmes de sécurité, il est conseillé de clarifier, si possible avant d'entreprendre toute autre action, quelle stratégie de sécurité est techniquement appropriée.

Examen médico-légal des fichiers supprimés

La suppression d'un fichier ne signifie pas automatiquement que toutes les informations sont immédiatement effacées de tous les systèmes de stockage.

En fonction du système de fichiers, du support de stockage, de la méthode de suppression et de l'utilisation ultérieure, des données ou des traces de fichiers peuvent subsister.

Cependant, avec les SSD, les mécanismes TRIM et de nettoyage de la mémoire interne peuvent limiter considérablement la récupération.

Par conséquent, la récupération des données supprimées ne peut jamais être garantie de manière générale.

Des traces peuvent subsister même sans restauration.

Dans le cadre d'une enquête médico-légale, il n'est pas uniquement crucial de savoir si le contenu intégral d'un fichier supprimé peut être récupéré.

D'autres éléments du système peuvent fournir des indices sur les fichiers ou activités précédents.

Cela peut rendre pertinent, par exemple, la possibilité de retracer un nom de fichier, un chemin de stockage ou un processus d'utilisation particulier dans d'autres structures de données.

Examiner les fichiers et les documents

Les documents peuvent contenir des informations techniques supplémentaires en plus de leur contenu visible.

Selon le format du fichier, des métadonnées, des informations temporelles, des informations sur l'auteur ou d'autres propriétés peuvent être présentes.

Ces données peuvent être pertinentes pour répondre à des questions concernant la création, la modification ou l'origine d'un document.

Cependant, les métadonnées doivent être évaluées dans un contexte technique, car elles peuvent être fondamentalement modifiées.

Analyse forensique USB et périphériques de stockage externes

En cas de suspicion de fuite de données ou de copies de données non autorisées, la question cruciale est souvent de savoir si des supports de stockage externes ont été utilisés.

Les ordinateurs peuvent laisser des traces des périphériques USB connectés.

Selon le système d'exploitation et la disponibilité des données, des informations concernant des appareils spécifiques ou leur utilisation peuvent être présentes.

Ces informations peuvent être corrélées avec les informations relatives aux fichiers, aux utilisateurs et à l'heure.

Est-il possible de prouver quels fichiers ont été copiés sur une clé USB ?

Cette question doit être examinée au cas par cas.

Le fait qu'un périphérique de stockage USB particulier ait été connecté ne prouve pas automatiquement quels fichiers y ont été copiés.

Par conséquent, afin de reconstituer techniquement une éventuelle fuite de données, il est nécessaire de comparer différents éléments entre eux.

Cette distinction est particulièrement importante en matière de droit du travail ou de criminalité en col blanc.

Analyse forensique du navigateur et activité Internet

Les navigateurs Web peuvent générer d'importantes traces numériques.

Selon le navigateur, le profil utilisateur et l'état des données, par exemple l'historique, les téléchargements, les cookies, les données du cache, les informations de session enregistrées ou d'autres éléments du navigateur, peuvent être pertinents.

Cela permet, si nécessaire, de classer certaines activités sur Internet par ordre chronologique.

Ici aussi, le principe suivant s'applique : un simple élément de navigateur ne doit pas être automatiquement assimilé à une personne physique spécifique.

Activités de téléchargement et de chargement

Dans certaines enquêtes, il est pertinent de déterminer si les fichiers ont été téléchargés depuis Internet ou transférés via des services en ligne.

Les données du navigateur, les artefacts du système de fichiers, les informations sur l'application et éventuellement d'autres journaux peuvent fournir des indices.

La possibilité de prouver de manière fiable un téléchargement ou un chargement spécifique dépend des preuves techniques disponibles.

Analyse forensique des courriels sur les ordinateurs

La communication par courriel peut laisser des informations pertinentes à différents niveaux.

Outre les messages visibles, il est possible d'examiner les bases de données de messagerie locales, les pièces jointes, les informations d'en-tête, les données du cache et d'autres éléments.

Dans les cas complexes, l'analyse informatique locale peut être combinée à un examen du compte de messagerie concerné ou d'autres sources de données disponibles.

Traces de nuage sur un ordinateur

Même lorsque les fichiers sont stockés dans un service cloud, des traces locales peuvent subsister sur un ordinateur.

Les programmes de synchronisation, les répertoires locaux, les données du cache, les configurations et autres artefacts peuvent fournir des indices sur l'utilisation d'un service cloud.

Cependant, les artefacts informatiques locaux et les données effectivement détenues par le fournisseur de cloud constituent des sources de preuves différentes et doivent être évaluées séparément.

Analyse des logiciels malveillants et des logiciels malveillants

Si l'on soupçonne un ordinateur d'être compromis, il est possible de vérifier s'il présente des signes techniques de logiciels malveillants ou d'autres modifications indésirables.

Cela permet d'examiner les fichiers, les processus, les mécanismes de démarrage automatique, les configurations système, les journaux d'événements et autres artefacts.

Une analyse professionnelle ne se limite pas à constater qu'un antivirus a détecté un fichier spécifique.

L'essentiel est plutôt de savoir quelles traces techniquement vérifiables sont présentes et quelles conclusions on peut en tirer.

Ordinateur piraté – une attaque peut-elle être prouvée ?

La possibilité de prouver un accès non autorisé antérieur dépend des traces encore présentes.

Les informations pertinentes peuvent se trouver dans les journaux système, les comptes d'utilisateurs, les applications, les données du navigateur, les traces réseau ou d'autres éléments.

Cependant, l'absence d'artefact détectable ne prouve pas automatiquement qu'une attaque n'a jamais eu lieu.

De même, une simple anomalie technique ne prouve pas automatiquement la réussite du compromis.

Attaques par rançongiciel et chiffrement

Diverses questions d'ordre juridique peuvent se poser suite à un incident de type ransomware.

Cela inclut, par exemple, le chemin d'attaque initial possible, les comptes d'utilisateurs affectés, les programmes exécutés, les chronologies et les systèmes touchés.

Dans le cas d'incidents d'entreprise, une telle enquête peut s'inscrire dans une analyse plus complète de la réponse à l'incident.

Enquêter sur les manipulations présumées

En cas de litige, la question peut se poser de savoir si des fichiers, des documents ou d'autres informations numériques ont été modifiés ultérieurement.

L'informatique légale permet d'examiner les métadonnées existantes, les informations du système de fichiers et d'autres artefacts techniques, afin de déceler les incohérences.

Cependant, une anomalie technique ne constitue pas automatiquement une preuve de manipulation délibérée.

Inversement, l'absence d'anomalie ne prouve pas qu'un fichier n'a jamais été modifié.

Reconstitution de l'activité de l'utilisateur

Les systèmes d'exploitation modernes génèrent de nombreux artefacts lors de leur utilisation.

En corrélant différentes sources, il peut être possible de reconstituer les activités qui se sont déroulées sur un système à des moments précis.

Il convient de faire une distinction entre l'activité d'un compte utilisateur et l'identité d'une personne physique.

Le fait qu'un compte utilisateur particulier ait été actif ne prouve pas automatiquement quelle personne était réellement assise devant l'ordinateur.

Analyse chronologique – reconstitution des événements chronologiquement

L'une des méthodes les plus puissantes en informatique légale est la corrélation temporelle de différentes traces numériques.

Cela permet, par exemple, de placer les événements du système de fichiers, les journaux système, les exécutions de programmes, les activités du navigateur, les connexions USB et autres artefacts dans un contexte temporel commun.

Une telle chronologie peut aider à reconstituer des processus complexes étape par étape.

D'un point de vue technique, les horodatages doivent être interprétés correctement. Différents systèmes peuvent utiliser des fuseaux horaires, des formats horaires et des significations des valeurs temporelles différents.

Examiner l'ordinateur et le smartphone ensemble

Aujourd'hui, les questions numériques se limitent rarement à un seul appareil.

Un document peut avoir été créé sur un ordinateur, synchronisé via un service cloud, ouvert sur un smartphone, puis envoyé via une messagerie instantanée.

Dans les cas complexes, l'examen conjoint de différents appareils peut donc s'avérer considérablement plus instructif.

LB Forensics peut combiner l'analyse forensique informatique et mobile au sein d'une stratégie d'enquête commune.

Ordinateurs et dispositifs de stockage de données cryptés

Les ordinateurs modernes utilisent de plus en plus le chiffrement des disques et des fichiers.

Par exemple, BitLocker peut être pertinent pour les systèmes Windows et FileVault pour les systèmes Apple.

L’accès aux données chiffrées, et les modalités de cet accès, dépendent de l’état du système, de sa configuration et des informations d’accès disponibles.

Par conséquent, il convient de tenir compte du chiffrement existant lors de la planification de la préservation des preuves.

Sauvegarde forensique plutôt qu'une simple copie de fichier

Copier des fichiers visibles sur une clé USB n'équivaut pas à une sauvegarde forensique complète.

Un processus de sauvegarde professionnel documente le système ou le support de données utilisé, la méthode employée et l'ensemble de données sauvegardé.

Selon le cas faisant l'objet de l'enquête, les valeurs de hachage cryptographiques peuvent être utilisées pour documenter l'intégrité d'ensembles de données définis de manière traçable.

Une valeur de hachage ne prouve pas automatiquement la véracité ni l'authenticité du contenu d'un fichier. Elle permet principalement de comparer si un ensemble de données défini a été modifié par rapport à un état de référence documenté.

Blocage en écriture et protection du support de données d'origine

Les analyses appropriées des supports de données peuvent utiliser des méthodes matérielles ou logicielles conçues pour empêcher ou minimiser les accès en écriture non intentionnels au support d'origine.

La méthode appropriée dépend du support de données spécifique et de la stratégie de sauvegarde.

L’objectif est de préserver autant que possible l’état initial des preuves et de documenter les modifications de manière traçable.

Chaîne de possession et chaîne de preuves

Dans les enquêtes ayant une incidence juridique, le résultat de l'analyse n'est pas le seul facteur important.

Il est tout aussi crucial de pouvoir retracer quel appareil a été examiné, quand il a été acquis, comment il a été sécurisé et sur quel ensemble de données l'analyse ultérieure est basée.

Cette chaîne de preuves documentée est souvent appelée chaîne de possession.

Rapport médico-légal et avis d'expert

Une analyse technique exhaustive n'est utile que si les résultats sont présentés de manière compréhensible.

Selon la nature de la mission, les conclusions pertinentes peuvent donc être consignées dans un rapport d'enquête ou une analyse d'expert.

Une bonne documentation médico-légale fait la distinction entre :

• faits techniques établis,
• méthodes d'examen utilisées,
• conclusions techniques,
• restrictions existantes et
• Questions auxquelles il est impossible de répondre à partir des données disponibles.

Vous trouverez de plus amples informations auprès de notre bureau d'experts en criminalistique informatique et mobile.

Que faut-il éviter avant une enquête en informatique légale ?

Dans une affaire où la preuve pourrait être déterminante, des actions malavisées pourraient altérer les preuves existantes.

• Ne supprimez pas et ne déplacez pas les fichiers prématurément.
• N'utilisez aucun programme de nettoyage.
• Ne réinitialisez pas l'ordinateur aux paramètres d'usine.
• N'effectuez pas l'installation d'un nouveau système d'exploitation.
• Ne formatez pas un SSD ou un disque dur.
• N'installez pas les mises à jour inutiles.
• N’effectuez aucune mesure antivirus ou de réparation sans évaluation préalable.
• Évitez de connecter inutilement des périphériques de stockage externes.
• Ne supprimez pas les fichiers journaux ni les profils utilisateur.

Un système en fonctionnement ne doit pas être arrêté automatiquement. La volatilité des données ou l'état du chiffrement peuvent avoir une incidence sur la stratégie de sauvegarde.

Informatique légale pour les entreprises

En entreprise, l'informatique légale peut s'avérer particulièrement pertinente en cas de suspicion de fuites de données, d'accès non autorisé, de logiciels malveillants, de manipulations internes, de violations de la conformité ou d'autres incidents de sécurité.

Les possibilités techniques et les cadres juridiques doivent être pris en compte conjointement.

Par conséquent, une enquête doit se concentrer sur une question précise et avoir un périmètre d'investigation clairement défini.

L'informatique légale dans les affaires d'employés

Lors d'enquêtes internes, les ordinateurs des postes de travail peuvent contenir d'importantes traces numériques.

Les questions possibles concernent par exemple les copies de données, les supports de stockage externes, les activités liées aux fichiers ou d'autres processus techniques.

Une enquête médico-légale ne remplace pas l'examen de la recevabilité d'une mesure au regard du droit du travail ou du droit de la protection des données.

L'informatique légale pour les avocats et les tribunaux

Les données numériques peuvent jouer un rôle crucial dans les procédures civiles, pénales, du travail ou économiques.

LB Forensik apporte son soutien en matière de sécurisation technique, d'analyse et d'évaluation des preuves numériques.

On fait une distinction entre les faits techniquement vérifiables et les évaluations juridiques plus approfondies.

Informatique légale pour les particuliers

Les particuliers peuvent également faire examiner leurs ordinateurs et dispositifs de stockage de données par des experts médico-légaux.

Les questions types portent par exemple sur les accès non autorisés suspectés, les pertes de données, les manipulations suspectées, les logiciels malveillants, les données supprimées ou la sécurisation des preuves numériques dans le cadre de procédures judiciaires.

L'informatique légale à l'échelle nationale en Allemagne

LB Forensik accompagne les entreprises, les avocats, les autorités et les particuliers à travers le pays dans la sécurisation et l'investigation de leurs systèmes numériques.

Selon les circonstances, la sécurisation ou l'enquête peut avoir lieu sur place ou dans des conditions d'enquête contrôlées.

Des informations régionales peuvent être trouvées, par exemple, sous les rubriques « Informatique légale pour Stuttgart » , « Informatique légale pour Düsseldorf » et « Informatique légale pour Hanovre ».

Limites de l'informatique légale

L'analyse forensique informatique professionnelle peut révéler de nombreuses traces numériques. Cependant, elle ne peut pas répondre à toutes les questions.

• Les données supprimées ne sont pas toujours récupérables.
• Les données écrasées peuvent être définitivement perdues.
• Les processus TRIM et les processus internes au SSD peuvent limiter la récupération.
• Le chiffrement peut empêcher ou entraver l'accès aux données.
• Toutes les activités des utilisateurs ne laissent pas de trace numérique claire.
• Un compte utilisateur n'est pas automatiquement synonyme d'une personne physique spécifique.
• Un horodatage doit être interprété techniquement.
• L'absence d'un artefact ne prouve pas automatiquement qu'un événement n'a jamais eu lieu.

Une enquête menée avec rigueur et professionnalisme permet donc non seulement d'identifier les traces trouvées, mais aussi de déterminer les limites de leur signification.

Questions fréquentes sur l'informatique légale

Qu'est-ce que l'informatique légale ?

L'informatique forensique consiste à sécuriser, analyser et évaluer de manière structurée les traces numériques présentes sur les ordinateurs et les supports de stockage. Son objectif est la reconstitution technique d'événements spécifiques à partir des données disponibles.

Quels ordinateurs peuvent faire l'objet d'un examen médico-légal ?

Selon le système et la question posée, il est possible d'examiner les PC Windows, les ordinateurs portables, les systèmes Apple Mac, ainsi que les disques durs, les SSD et les supports de stockage externes associés.

Est-il possible de déterminer quels fichiers ont été supprimés ?

Cela peut se produire selon le système de fichiers, le support de stockage et l'utilisation ultérieure. Même si le contenu des fichiers est irrécupérable, d'autres éléments peuvent indiquer l'existence de fichiers antérieurs.

Les fichiers supprimés peuvent-ils être récupérés ?

Partiellement. Les chances de succès dépendent fortement du support de stockage, du système de fichiers, du processus de suppression et de l'utilisation ultérieure. Avec les SSD, les processus TRIM et de nettoyage interne, en particulier, peuvent limiter la récupération.

Est-il possible de déterminer la date de suppression d'un fichier ?

Dans certaines conditions, divers artefacts peuvent fournir des indices sur un processus de suppression ou sa chronologie. Cependant, il n'est pas toujours possible de déterminer la date exacte de la suppression.

Est-il possible de déterminer qui a supprimé un fichier ?

Les traces numériques permettent de relier des activités à un système ou à un compte utilisateur. Cependant, cela ne révèle pas automatiquement l'identité de la personne physique qui a réellement effectué l'action.

Est-il possible de déterminer si une clé USB était connectée ?

Selon le système d'exploitation et l'état des données, des traces de périphériques USB connectés peuvent être présentes.

Est-il possible de déterminer quels fichiers ont été copiés sur une clé USB ?

Cela doit être vérifié à l'aide de plusieurs sources de données. La simple présence d'un périphérique USB connecté ne prouve pas automatiquement qu'une copie a effectivement eu lieu.

Est-il possible d'examiner un ordinateur piraté ?

Oui. En cas de suspicion d'accès non autorisé, les traces système, fichiers, utilisateurs, navigateurs, applications et, le cas échéant, réseau existantes peuvent être analysées.

Est-il possible de déterminer à quel moment un pirate informatique a obtenu l'accès ?

Si des journaux d'événements et autres documents pertinents sont disponibles, il sera peut-être possible de préciser la période d'accès potentielle. Cependant, une reconstitution complète n'est pas toujours possible.

Les logiciels malveillants peuvent-ils être détectés ?

Si des artefacts correspondants sont toujours présents, ils peuvent indiquer la présence de logiciels malveillants, de programmes suspects ou de modifications inhabituelles du système.

Est-il possible de déterminer quels sites web ont été visités ?

Les profils de navigation peuvent contenir l'historique, le cache, les téléchargements et d'autres éléments, selon l'état des données. Cependant, la navigation privée, les suppressions et d'autres facteurs peuvent modifier l'état des données.

Est-il possible de récupérer les données de navigation supprimées ?

Selon le navigateur, le système de fichiers et l'état du stockage, une récupération partielle est possible. Une récupération complète ne peut être garantie.

Les courriels peuvent-ils faire l'objet d'une enquête ?

Oui. Les données de messagerie, les pièces jointes et autres informations techniques stockées localement peuvent être analysées, selon le système utilisé.

Est-il possible de suivre l'activité du cloud sur un ordinateur ?

La synchronisation locale et les artefacts d'application peuvent fournir des indications sur l'utilisation de certains services cloud. Des données cloud supplémentaires peuvent être nécessaires pour une évaluation complète.

Est-il possible de déterminer si des fichiers ont été manipulés ?

Une enquête peut examiner les anomalies techniques, les métadonnées et les incohérences. Cependant, il est impossible d'identifier avec certitude toute modification ou de l'attribuer à une personne en particulier.

Peut-on examiner un ordinateur éteint ?

Oui. Les données non volatiles stockées sur des supports existants peuvent être sauvegardées et analysées, sous réserve du chiffrement, de leur état et de leur accessibilité technique.

Faut-il éteindre un ordinateur suspect ?

Pas automatiquement. Un système en fonctionnement peut contenir des données volatiles en mémoire vive ou des données précédemment déchiffrées. Il est donc conseillé de définir, si possible, la stratégie de sauvegarde appropriée avant toute intervention.

Qu'est-ce que l'analyse forensique de la RAM ?

L'analyse forensique de la RAM examine les données de la mémoire volatile d'un système en fonctionnement. Ces données peuvent inclure des informations sur les processus actifs et d'autres états actuels du système.

Est-il possible d'examiner un disque dur crypté ?

Cela dépend de la méthode de chiffrement, de l'état du système et des informations d'accès existantes. Le chiffrement existant doit être pris en compte dès que possible dans la planification des sauvegardes.

Qu'est-ce qu'une image médico-légale ?

Une image forensique est une sauvegarde d'un support de données ou d'un ensemble de données créée selon une méthode définie, qui peut ensuite être utilisée à des fins d'analyse. La méthode de sauvegarde spécifique dépend de l'objet étudié.

Que signifie « chaîne de traçabilité » ?

La chaîne de possession documente la chaîne des preuves. Elle vise à permettre de retracer quelle preuve a été saisie, comment elle a été traitée et sur quelle base de données l'enquête a été menée.

Combien de temps dure une analyse forensique informatique ?

La durée dépend principalement du volume de données, du nombre d'appareils, du chiffrement, des questions spécifiques posées et du niveau d'investigation requis. Par conséquent, une estimation fiable n'est souvent possible qu'après avoir déterminé précisément le périmètre de l'enquête.

Est-il possible d'examiner un ordinateur réinitialisé ou nouvellement installé ?

Oui, une investigation peut encore s'avérer utile. Cependant, la réinitialisation, la réinstallation et l'utilisation ultérieure du système peuvent écraser les données précédentes ou les rendre inaccessibles. Les informations qui peuvent encore être recueillies doivent être examinées sur le système concerné.

Une capture d'écran est-elle suffisante comme preuve numérique ?

Une capture d'écran peut documenter un état visible, mais elle contient généralement beaucoup moins d'informations techniques contextuelles que les données sources originales. Par conséquent, pour une analyse forensique plus approfondie, il est essentiel de préserver les données sources originales autant que possible.

Que dois-je faire si je souhaite faire examiner mon ordinateur par un expert en criminalistique numérique ?

Évitez toute modification inutile du système et documentez son état actuel. Pour un système en fonctionnement ou chiffré, déterminez la meilleure marche à suivre avant de l'arrêter ou d'effectuer toute autre intervention.

Demander une expertise informatique légale auprès de LB Forensics

Si un ordinateur, un ordinateur portable, un Mac ou un périphérique de stockage de données doit être examiné après un incident de sécurité, en cas de suspicion de manipulation, de perte de données ou dans le cadre d'un litige, il est recommandé de prendre contact le plus tôt possible.

Pour une première évaluation, le type d'appareil, le système d'exploitation, les supports de stockage de données disponibles, l'état du chiffrement et la question spécifique sont particulièrement pertinents.

LB Forensics peut alors déterminer quelles sources de données doivent être sécurisées et quelle méthode d'examen convient à la question de preuve.

L'informatique légale professionnelle ne consiste pas à collecter un maximum de données. L'essentiel est de sécuriser méthodiquement les traces numériques, de les interpréter correctement d'un point de vue technique et de les documenter de manière traçable.