Techniques de forensics numérique

L’investigation numérique (forensics) consiste à identifier, collecter, préserver et analyser des traces numériques de façon rigoureuse et reproductible, afin qu’elles puissent servir de preuve devant la justice ou fonder les décisions d’une organisation après un incident. Ce cours forme aux méthodes et aux outils de l’expert : acquisition vérifiée par empreintes, chaîne de possession, analyse des systèmes de fichiers et des artefacts, exploitation des journaux et de la mémoire, construction de chronologies et rédaction du rapport. Il s’inscrit dans le cadre juridique nigérien (loi sur la cybercriminalité, Code de procédure pénale, protection des données personnelles, présentés à titre indicatif) et dans les normes ISO/IEC 27037 et suivantes. Tous les travaux pratiques se déroulent sur les machines virtuelles et supports de test du laboratoire de l’étudiant.

Objectifs d’apprentissage

• Appliquer les principes d’intégrité, de traçabilité et de reproductibilité et le processus ISO/IEC 27037.
• Réaliser une acquisition vérifiée (bloqueur d’écriture, SHA-256) et tenir une chaîne de possession.
• Utiliser et valider les outils d’analyse (EnCase, FTK, Autopsy/The Sleuth Kit) sur des systèmes de fichiers NTFS, FAT et ext4.
• Interpréter artefacts Windows, journaux d’événements et données de mémoire, et construire une chronologie multi-sources.
• Rédiger un rapport d’expertise factuel et recevable.

Prérequis

Administration des systèmes Windows et Linux, notions de systèmes de fichiers, principes de sécurité et de cryptographie (fonctions de hachage), bases du droit de la cybercriminalité (S1).

Plan du cours

1. Leçon 1 — Fondements de l’investigation numérique et cadre juridique
2. Leçon 2 — Collecte, acquisition et préservation des preuves numériques
3. Leçon 3 — Outils d’analyse et examen des disques et des fichiers
4. Leçon 4 — Journaux, mémoire, chronologie et rapport d’investigation

Modalités d’évaluation

Volume horaire : 20 h de CM, 15 h de TD, 15 h de TP, 50 h de TPE ; 5 crédits. Évaluation : contrôle continu (40 % : quiz, exercices de TD, comptes rendus des trois TP guidés — acquisition, analyse Autopsy, journaux) et examen terminal (60 %) comprenant une étude de cas avec rédaction d’un extrait de rapport d’expertise.

Bibliographie

• Casey, E., Digital Evidence and Computer Crime: Forensic Science, Computers, and the Internet, Academic Press (Elsevier).
• Carrier, B., File System Forensic Analysis, Addison-Wesley.
• Sammons, J., The Basics of Digital Forensics, Syngress.
• ISO/IEC 27037:2012, Lignes directrices pour l’identification, la collecte, l’acquisition et la préservation de preuves numériques ; ISO/IEC 27042 (analyse et interprétation).
• NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response ; IETF RFC 3227, Guidelines for Evidence Collection and Archiving.