Informatique légale : Comment identifier la cause d'une cyberattaque

La criminalistique numérique, c'est comme chercher une aiguille dans une botte de foin numérique.

Elle collecte des preuves à partir de dispositifs électroniques, de réseaux et de systèmes, aidant les enquêteurs à identifier, préserver et analyser les preuves trouvées dans la cybercriminalité. Elle détermine ce qui a été compromis et comment un cybercriminel a pu le faire.

De nombreuses organisations utilisent des outils de criminalistique numérique pour examiner et enquêter sur les systèmes d'information après un incident de sécurité. Ces outils aident les experts en criminalistique numérique à identifier la cause profonde d'une cyberattaque et à mettre en place des mesures préventives pour éviter de futurs incidents.

Qu'est-ce que la criminalistique numérique ?

La criminalistique numérique est une branche de la science légale qui s'occupe de la récupération, de l'enquête, de l'examen et de l'analyse de matériel dans des dispositifs numériques, notamment lors d'un incident de cybersécurité.

Les équipes de réponse aux incidents et les agences d'application de la loi l'utilisent pour enquêter sur les preuves électroniques d'une cybercriminalité.

La criminalistique numérique est également connue sous le nom de science légale numérique. Comme les dispositifs électroniques occupent une place importante dans nos modes de vie modernes, consciemment ou inconsciemment, les criminels ou délinquants les utilisent dans leurs actes malveillants. Cela fait de ces dispositifs des preuves solides pour soutenir ou réfuter une accusation dans les tribunaux pénaux et civils.

Les affaires pénales impliquent des infractions présumées à la loi et les affaires civiles traitent des litiges contractuels entre parties commerciales. La criminalistique numérique sert de preuve solide pour examiner les deux types de cas.

La science légale numérique joue également un rôle important dans le secteur privé. Les agences d'enquête l'utilisent lors d'enquêtes internes d'entreprise ou lors de l'examen d'incidents d'intrusion non autorisée dans le réseau.

Grâce à l'analyse de la criminalistique numérique, ces agences peuvent attribuer des preuves à des suspects, confirmer des alibis, identifier des intentions ou authentifier des documents. De nombreuses agences exploitent le système de détection et de prévention des intrusions d'une entreprise pour explorer les crimes potentiels tout en collectant et analysant des preuves.

Un bref historique de la criminalistique numérique

Avant la fin des années 1970, les autorités judiciaires traitaient les crimes liés aux ordinateurs en utilisant les lois existantes. En 1978, la loi sur les crimes informatiques de Floride a reconnu pour la première fois les crimes informatiques. À mesure que les infractions criminelles liées aux ordinateurs augmentaient dans les années suivantes, plusieurs lois ont été adoptées pour traiter des problèmes de confidentialité, de harcèlement et de droits d'auteur.

Dans les années 1980, les lois fédérales ont commencé à intégrer les infractions informatiques. Le Federal Bureau of Investigation (FBI) a créé une équipe d'analyse et de réponse informatique en 1984. Les premiers membres de cette équipe étaient des agents du FBI qui étaient également des passionnés d'informatique.

Dans les années 1980, seuls quelques programmes de techniques de criminalistique numérique étaient disponibles. En conséquence, les enquêteurs effectuaient des analyses en direct et examinaient les ordinateurs depuis le système d'exploitation pour extraire des preuves. Bien que les enquêteurs puissent obtenir les preuves, il y avait un risque de modification des données, ce qui entraînerait une falsification des preuves.

Les années 1990 ont vu l'apparition de nombreux nouveaux programmes, outils et techniques de criminalistique numérique pour atténuer le risque de modification des données. Vers la fin des années 1990, des outils avancés ont été développés à mesure que la demande de preuves numériques augmentait.

La demande de nouvelles ressources d'enquête de base a également augmenté. Cette demande a suscité la création de groupes régionaux et locaux pour aider les unités de recherche légale centrales.

Différents organismes et agences ont commencé à travailler pour répondre au besoin de normalisation et de directives pour la criminalistique numérique dans les années 2000. La formation des chercheurs et des enquêteurs a également reçu une attention considérable au cours de cette décennie.

Pourquoi la criminalistique numérique est-elle importante ?

Tout comme un criminel laisse des empreintes digitales et des traces de pas sur les lieux d'un crime, un pirate informatique laisse des journaux d'activité et des métadonnées dans une cybercriminalité. Les enquêteurs en criminalistique numérique analysent ces données électroniques pour trouver les outils utilisés par l'attaquant, ainsi que leur méthode choisie pour lancer une cyberattaque.

La criminalistique numérique détermine la quantité et la nature des dommages causés par une cyberattaque. Les experts en criminalistique informatique jouent un rôle majeur dans la recherche et la préservation des preuves liées à l'incident, qui pourraient devenir obsolètes plus tard.

Ils aident l'équipe de réponse aux incidents à comprendre qui était le pirate, comment le pirate a mené l'attaque et combien de dégâts l'attaque a causés.

La criminalistique numérique aide une organisation même après une attaque en gérant ses conséquences. Une enquête en criminalistique numérique met en évidence le chemin vers les données compromises, permettant aux organisations de comprendre clairement l'impact des violations de données et de mettre en œuvre des mesures d'atténuation.

Types de criminalistique numérique

La criminalistique numérique est un domaine en constante évolution qui va de la simple récupération de données à la reconstitution de l'identité d'un pirate informatique.

La portée et l'échelle de la tâche sont déterminées par ce que vous essayez d'accomplir. Essayez-vous de récupérer des fichiers supprimés ? Ou essayez-vous de découvrir qui a piraté votre ordinateur et volé toutes vos informations ?

Peu importe le type d'aide en criminalistique numérique dont vous avez besoin, il est important de comprendre qu'il existe différents types, niveaux et degrés d'analyse.

Voici quelques types courants de criminalistique numérique que les experts rencontrent dans leurs enquêtes :

• Criminalistique réseau concerne la détection et la surveillance du trafic réseau pour capturer des preuves cruciales.
• Criminalistique des disques collecte des preuves à partir de dispositifs de stockage numérique tels que les clés USB, les CD, les disques durs et les DVD.
• Criminalistique sans fil fait partie de la criminalistique réseau qui extrait des preuves à partir de dispositifs de réseau sans fil.
• Criminalistique des bases de données enquête sur les bases de données et leurs métadonnées pertinentes pour collecter des preuves.
• Criminalistique des e-mails gère la récupération et l'analyse des données supprimées dans un e-mail.
• Criminalistique des logiciels malveillants identifie le code malveillant et étudie les problèmes liés aux chevaux de Troie et autres virus.
• Criminalistique de la mémoire enquête sur les données dans la mémoire cache ou la RAM d'un ordinateur et les collecte comme preuve.

Processus de criminalistique numérique

Il y a cinq étapes clés dans le processus de criminalistique numérique : identification, préservation, analyse, documentation et présentation.

Identification

Identifier les preuves numériques garantit que les enquêteurs collectent les bonnes preuves et qu'elles ne sont pas contaminées par d'autres sources de données.

Les experts en criminalistique numérique identifient le problème. Ils déterminent quel type de crime s'est produit, quels types de dispositifs peuvent être impliqués et comment ils peuvent utiliser ces dispositifs pour résoudre l'affaire. Cela implique d'identifier qui ou quoi est impliqué dans le crime en examinant les métadonnées liées aux preuves numériques (par exemple, un fichier vidéo). Cela permet aux enquêteurs de déterminer si les données elles-mêmes sont nécessaires à leur enquête.

Préservation

Les informations numériques peuvent facilement être altérées ou détruites si elles sont mal manipulées, il est donc essentiel de les préserver pour les protéger de la falsification. Cela maintient l'intégrité des preuves.

Les examinateurs en criminalistique numérique utilisent généralement des fichiers de sauvegarde d'image lors de la préservation des preuves. Il est crucial de s'assurer que l'examinateur ne laisse pas d'empreintes supplémentaires lors de la création de l'image. Les logiciels d'imagerie les aident à éviter la falsification des preuves.

Les journaux d'accès et les sauvegardes de données sont dynamiques car les ordinateurs continuent de recevoir et de modifier des informations. Les examinateurs en criminalistique doivent extraire des artefacts numériques tels que des paquets de données, des journaux d'événements et des conteneurs et les préserver pour éviter l'écrasement.

Analyse

Cela implique de passer en revue les preuves identifiées pour déterminer l'exactitude des résultats. Les analystes recherchent ensuite des données supplémentaires qui pourraient aider à répondre aux questions sur l'affaire.

Ils utilisent généralement des logiciels spécialisés en criminalistique numérique qui trient rapidement et efficacement toutes les preuves - découvrant ce qui s'est passé dès que possible. Ces logiciels les aident à comprendre l'incident et à créer une chronologie des événements.

Documentation

Les analystes en criminalistique numérique doivent documenter leurs conclusions devant le tribunal comme preuve. D'autres enquêteurs ou superviseurs au sein de l'organisation peuvent également demander l'accès à ces informations à leurs fins.

Une bonne documentation en criminalistique numérique couvre des informations critiques pour tirer des enseignements et tirer une conclusion précise.

Présentation

Après la documentation, les experts résument et présentent leurs conclusions à un tribunal ou à toute autre autorité d'enquête. La présentation assemble plusieurs angles des incidents de sécurité ensemble, aidant les organismes d'enquête à tirer une conclusion.

Ces présentations suivent des protocoles et incluent la méthodologie légale et les procédures d'analyse avec leur explication.

Avantages de la criminalistique numérique

Il ne suffit pas de comprendre comment fermer l'accès du pirate une fois qu'il est entré dans un réseau. Les scientifiques en criminalistique numérique doivent savoir d'où vient l'attaque pour fermer cette porte définitivement.

Si cela ne se produit pas, les organisations ne feront que jouer au jeu de la taupe avec les pirates, ce qui compromet la sécurité chaque fois que de nouveaux pirates réussissent à passer.

La criminalistique numérique donne aux experts en cybersécurité les informations dont ils ont besoin pour développer des technologies qui empêchent les pirates d'entrer définitivement. Une fois que l'expert sait comment les pirates sont entrés, ils créent ou programment des logiciels qui alertent les administrateurs lorsqu'une attaque a eu lieu afin qu'ils puissent empêcher le pirate d'accéder.

Défis de la criminalistique numérique

La criminalistique numérique présente des défis uniques pour les enquêteurs. Ces défis sont classés en techniques, juridiques et de ressources.

Défis techniques

Les défis techniques incluent l'identification des preuves admissibles au tribunal qui peuvent être utiles à l'enquête. Certaines données peuvent être cachées ou cryptées sur un dispositif, empêchant l'accès des experts. Bien que le cryptage assure la confidentialité des données, les attaquants l'utilisent également pour cacher leurs crimes.

Les cybercriminels cachent également certaines données à l'intérieur du stockage en utilisant des commandes et des programmes système. Ils peuvent également supprimer des données du système informatique.

Dans de telles situations, les outils de criminalistique numérique peuvent aider à récupérer ces données à partir de l'espace libre d'un dispositif ou de fichiers d'échange. Certains attaquants profitent également du canal caché pour masquer la connexion entre eux et le système compromis.

Défis juridiques

Les défis juridiques incluent les préoccupations en matière de confidentialité et les réglementations sur l'accessibilité au stockage des données. Par exemple, certaines lois exigent que les entreprises suppriment les informations personnelles dans un certain délai après un incident. Un outil de criminalistique numérique peut aider à récupérer ces données afin qu'elles ne soient pas perdues avant qu'une enquête n'ait lieu.

Certains cadres juridiques peuvent ne pas reconnaître chaque aspect granulaire de la criminalistique numérique. La politique cybernétique peut ne pas répondre aux qualifications et compétences requises pour identifier et prouver les preuves.

Défis de ressources

Avec Internet et les réseaux étendus, les données circulent désormais au-delà des frontières physiques. Les données électroniques ont augmenté en volume, rendant difficile pour les examinateurs en criminalistique numérique d'identifier les données originales et pertinentes.

La technologie évolue également très rapidement. En raison de cela, il est devenu difficile de lire les preuves numériques car les nouvelles versions des systèmes ne sont pas compatibles avec les anciennes versions de logiciels qui n'ont pas de support de compatibilité descendante.

Meilleures pratiques pour les enquêtes en criminalistique numérique

Les experts en criminalistique numérique doivent suivre certaines normes et meilleures pratiques lors de l'enquête sur un incident de sécurité.

Voici quelques meilleures pratiques pour garantir des enquêtes complètes et des preuves crédibles :

• Documenter l'emplacement et l'état de tout avant de commencer les enquêtes.
• Faire des copies des preuves et travailler dessus au lieu de travailler sur les fichiers originaux pour éviter de les falsifier.
• Être systématique et complet avec l'analyse et collecter des preuves pour soutenir ou réfuter une hypothèse avec plusieurs théories possibles.
• Suivre des procédures standard pour manipuler les preuves et les préserver sans altération ni suppression.
• Préparer la documentation de l'enquête avec des données détaillées, claires et factuelles.
• Éviter le jargon technique autant que possible et créer une annexe pour des informations supplémentaires.
• Résumer la documentation de l'enquête sans aucun biais et valider les conclusions avec des intervieweurs en criminalistique dans les cas critiques.
• Respecter les directives réglementaires comme ISO/IEC 27037:2012 qui identifient, collectent et préservent les preuves numériques.
• Être éthique lors de l'enquête sur un incident et éviter de divulguer toute information acquise par inadvertance entre avocat et client sans le consentement de l'avocat ou l'ordre du juge.

Top 5 des outils de criminalistique numérique

Les outils de criminalistique numérique aident les équipes de réponse aux incidents à agréger les informations de sécurité à partir du matériel, des journaux réseau et des fichiers réseau pour détecter la cause possible d'une violation de sécurité. Les équipes de criminalistique mènent une analyse approfondie des systèmes et facilitent les processus de réponse aux incidents.

Pour être inclus dans la liste des logiciels de criminalistique numérique, un produit doit :

• Effectuer une analyse de la sécurité des e-mails, d'Internet, de fichiers, de mémoire et de matériel
• Effectuer une analyse après l'indexation des informations de sécurité agrégées
• Automatiser et décrire les flux de travail d'enquête sur la sécurité
• Décrire les vulnérabilités de sécurité dans les rapports d'enquête.

*Ces données sont collectées à partir de la catégorie des logiciels de criminalistique numérique de G2 le 14 avril 2022. Certains avis peuvent être édités pour plus de clarté.

1. IBM Security QRadar

IBM Security QRader identifie, comprend et priorise les menaces les plus cruciales pour une entreprise. Il offre des solutions complètes de détection et de réponse aux menaces qui éliminent les menaces plus rapidement.

Ce que les utilisateurs aiment :

"Le produit aide à identifier les menaces ou les vulnérabilités cachées dans le système et à trouver une solution rapide. Les règles et les infractions peuvent être utilisées pour travailler sur la politique de sécurité des menaces. L'application IBM pour l'intégration de nombreux outils de gestion des informations et des événements de sécurité (SIEM) pour collecter les journaux et travailler dessus est de premier ordre."

- Avis sur IBM Security QRadar, Rajesh M.

Ce que les utilisateurs n'aiment pas :

"Le principal problème concerne les connecteurs des applications héritées. Il doit fonctionner au même niveau que la concurrence ou exceller car il est jugé insuffisant dans la plateforme d'orchestration, d'automatisation et de réponse de sécurité (SOAR) ou ce que vous pouvez appeler le centre d'opérations de sécurité (SOC) de nouvelle génération. J'ai également trouvé qu'il était insuffisant dans le domaine de la gestion des données, qu'il s'agisse de données structurées ou non structurées. En termes de coût également, c'est un énorme fardeau."

- Avis sur IBM Security QReader, Darshan C

2. FTK Forensic Toolkit

FTK Forensic Toolkit est un logiciel de criminalistique informatique qui scanne les disques durs, localise les e-mails supprimés et scanne un disque pour les chaînes de texte afin de casser le cryptage. Il fournit une agrégation des outils de criminalistique les plus courants aux enquêteurs.

Ce que les utilisateurs aiment :

"Nous l'avons choisi comme notre outil de criminalistique informatique pour notre bureau de composant du système d'enseignement supérieur en raison de sa facilité d'utilisation, de sa courbe d'apprentissage rapide et de sa visualisation complète. FTK était parfait car il est rapide à apprendre et il rassemble une énorme quantité d'informations. L'installation se déroule sans problème et la formation est de premier ordre."

- Avis sur FTK Forensic Toolkit, Pinkee H.

Ce que les utilisateurs n'aiment pas :

"Certains aspects de la capacité de recherche que vous devez connaître à l'avance, sinon cela affectera considérablement vos recherches."

- Avis sur FTK Forensic Toolkit, Joseph S.

3. ExtraHop

ExtraHops’ plateforme de défense cybernétique détecte et répond aux menaces cybernétiques avancées. Elle permet aux professionnels de la sécurité de détecter les comportements malveillants et d'enquêter sur tout incident de sécurité en toute confiance.

Ce que les utilisateurs aiment :

"Assez facile à configurer une fois que vous connaissez les bases de l'étalement de votre trafic correctement et encore plus facile depuis qu'il a un moteur de déduplication. Il a une interface conviviale, qui présente clairement la détection de sécurité et l'analyse réseau pour l'équipe de sécurité et de réseau.

En tant que spécialiste réseau, j'apprécie la surveillance de la santé du réseau grâce à une analyse avancée du protocole de contrôle de transmission (TCP) et des erreurs de protocole. Extrahop 360 a un moteur puissant qui nous permet de faire des recherches rapides et conserve une grande quantité de métadonnées pour que nous puissions remonter dans le temps."

- Avis sur ExtraHop, François G.

Ce que les utilisateurs n'aiment pas :

"Extrahop a une avenue qu'il doit explorer immédiatement, et c'est l'inspection, la catégorisation, l'évaluation des risques et l'utilisation de données de bases de données externes pour les dispositifs IIoT/IoT. Actuellement, il peut voir le trafic sur le fil, mais les comportements et les risques derrière les dispositifs IoT dépasseront le matériel informatique standard connu dans quelques années.

Ce n'est pas nécessairement la faute d'Extrahop car c'est un problème avec l'une de ces solutions, mais l'agrégation du trafic dans une grande entreprise n'est pas seulement un défi mais une entreprise coûteuse. Comme solution de contournement, nous utilisons des courtiers de paquets pour réduire les flux de trafic à ceux qui nous intéressent pour nous assurer de ne pas sursouscrire massivement les dispositifs."

- Avis sur ExtraHop, Travis S.

4. Parrot Security OS

Parrot Security OS est une distribution Linux basée sur Debian avec un accent sur la sécurité, la confidentialité et le développement. Elle fournit une suite d'outils de test de pénétration à utiliser pour l'atténuation des attaques, la recherche en sécurité et la criminalistique.

Ce que les utilisateurs aiment :

"L'un des principaux avantages offerts par cette distribution est qu'elle offre un bon support pour les mises à jour de ses différents outils. Il y a une forte communauté qui passe en revue périodiquement les derniers packages de chacun des outils.

De plus, les meilleurs outils pour effectuer des audits de sécurité sont préinstallés dès le départ, en particulier du point de vue offensif, avec l'objectif de découvrir et d'exploiter les vulnérabilités dans l'infrastructure d'une organisation."

- Avis sur Parrot Security OS, Jose M Ortega

Ce que les utilisateurs n'aiment pas :

"Parfois, Parrot OS devient lent lorsque vous utilisez une application intensive en ressources car il ne prend pas en charge une variété de cartes graphiques nativement, mais vous pouvez également le faire fonctionner après quelques modifications.

Parfois, il a des problèmes de compatibilité avec des périphériques tels que des cartes sans fil USB et des dispositifs de jetons."

- Avis sur Parrot Security OS, Indrajeet S.

5. Cyber Triage

Cyber Triage offre un logiciel de réponse aux incidents automatisé qui enquête sur les points de terminaison vulnérables. Il pousse son outil de collecte sur le réseau, rassemble les données pertinentes et les analyse pour détecter une activité malveillante ou suspecte.

Ce que les utilisateurs aiment :

"Solution conviviale qui fait gagner du temps car elle est sans agent, entièrement automatisée et axée sur les principes de triage. Ne nécessite pas d'intermédiaire pour traiter les informations renvoyées par l'utilitaire, car tout est traité en temps réel."

- Avis sur Cyber Triage, Indars S.

Ce que les utilisateurs n'aiment pas :

"Étant un système sans agent, il suit l'activité des utilisateurs finaux via des comptes d'utilisateur. Cela signifie qu'il obtient toutes les données de compte et les analyse à distance au lieu de sur site."

- Avis sur Cyber Triage, Poonam K.

Protégez vos systèmes

L'importance de la criminalistique numérique a augmenté ces dernières années à mesure que le monde est devenu de plus en plus dépendant de la technologie pour enregistrer nos actions, pensées et souvenirs sous forme d'informations stockées sur des ordinateurs.

Les empreintes électroniques sont partout. Dans toute cybercriminalité, cette preuve électronique sert d'instrument crucial pour soutenir ou réfuter une hypothèse devant un tribunal. La criminalistique numérique découvre cette preuve et met en place des mesures préventives pour éviter des cybercrimes similaires à l'avenir.

En savoir plus sur la gestion des vulnérabilités afin de pouvoir corriger les faiblesses de sécurité dans vos systèmes et réseaux.