Week 3 Acquisition et Intégrité Flashcards
(34 cards)
Quels sont les objectifs d’apprentissage de cette session ?
Mémoriser les types et techniques d’acquisition, différencier les stockages volatiles et non-volatiles, et résumer les mécanismes de traçabilité.
Pourquoi est-il important de récupérer l’heure du système lors d’une acquisition ?
Pour interpréter correctement les horodatages (timestamps) ultérieurement, surtout si l’appareil est encore en marche (récupérer la timezone).
Qu’est-ce que l’acquisition de données en forensique numérique ?
C’est le fait d’accéder aux données et d’en faire une copie pour une future analyse, en évitant les modifications des données originales.
Quel est le principe fondamental de la forensique numérique concernant l’analyse des supports ?
Ne jamais analyser directement le support original, mais toujours travailler sur des copies forensiques (sauf situations extraordinaires).
Quelles informations sur un disque ne sont pas toujours visibles directement ?
Structure logique (MBR, GPT), système de fichiers (FAT, ext4), espace non alloué, espace inter-partitions, etc.
Quels sont les différents types d’acquisition de données ?
Acquisition hardware vs. numérique, physique vs. logique, et selon la complexité du support (simple, RAID, environnement, etc.).
Quels sont les trois types d’acquisition ?
IMPORTANT (Slide 10-11)
- Logique(accès que aux fichiers persos en utilisant explorateur Windows)
- Système de fichiers (accès root, donc tous les fichiers et dossiers mais pas les données éffacés/non-alloués. En utilisant Explorateur Windows)
- Physique (Tout mais ne contourne pas le chiffrement des données. Si système de fichiers crypté alors alors cette acquisition est inutile )
Quelle est la différence entre stockage volatile et non-volatile ?
- Volatile : données perdues sans courant (RAM)
- Non-volatile : données persistantes (disques durs, SSD, clés USB, CD/DVD).
Quelles données peuvent être trouvées dans la mémoire vive (RAM) ?
Mots de passe en clair, processus en cours, caches, registres CPU.
Outils : DumpIT, WINpmem, FTK Imager, etc.
Quelles sont les trois familles de supports de stockage non volatiles ?
Magnétiques (HDD),
Flash (NAND), et
optiques (CD/DVD).
Les supports magnétiques sont quasi disparus pour l’usage personnel.
Quels sont les connecteurs courants pour les appareils de stockage ?
IDE, SATA, USB, ATA, SCSI, Thunderbolt, Firewire, et connecteurs spécifiques aux smartphones.
Quels sont les types de copies forensiques ?
- Clone : copie complète sur un support de capacité égale.
- Image : copie dans un fichier (formats RAW, E01, AFF4).
Qu’est-ce qu’une image forensique au format RAW ?
Une copie bit-à-bit sans modification, ni checksum, ni compression. Exemple : fichiers .raw, .dd, .img.
Quelles sont les caractéristiques du format E01 pour les images forensiques ?
Inclut un header (infos sur le cas), des CRCs entre blocs de 64 secteurs, un footer avec hash MD5, et est compressible/indexable.
Quels sont les mécanismes pour préserver l’intégrité pendant l’acquisition ?
Bloqueurs d’écriture (logiciels, matériels), traçabilité via empreintes numériques (hashing), et documentation des actions.
Comment fonctionne un bloqueur d’écriture intégré au support ?
Protection physique (clapet sur disquettes, loquet sur cartes mémoire) ou supports non réinscriptibles (CD-R, DVD-R).
Qu’est-ce qu’un bloqueur d’écriture logiciel et quelles sont ses limites ?
Il monte les supports en lecture seule mais est inefficace contre les accès directs au disque (éditeurs hexadécimaux).
Comment monter un disque en lecture seule sous Linux ?
Commande : sudo mount -o ro /dev/sdX /mnt/point_de_montage`.
Sous Windows, utiliser des outils comme OSFmount.
Quels sont les OS forensiques bootables mentionnés ?
Linux : Paladin, Caine, Tsurugi. Windows : WinFE. macOS : MacQuisition. Ils incluent des outils d’investigation.
Qu’est-ce qu’un bloqueur d’écriture matériel et comment le valider ?
Boîtier physique empêchant l’écriture sur le support. À valider régulièrement pour s’assurer de son efficacité.
Qu’est-ce qu’un duplicateur forensique et ses avantages ?
Boîtier autonome pour cloner des supports, souvent plus rapide qu’un ordinateur. Attention à ne pas inverser source/destination.
Quels sont les risques des appareils malveillants ressemblant à des clés USB ?
Ils peuvent endommager le matériel (USB Killer) ou exfiltrer des données (Rubber Ducky).
Quel est le but de la traçabilité en forensique numérique ?
Assurer la continuité de la preuve en suivant le mouvement des supports via empreintes numériques et documentation.
Qu’est-ce qu’une fonction de hash et quelles sont ses propriétés ?
Fonction produisant une empreinte unique.
Propriétés : résistance à la pré-image, seconde pré-image, et collisions.
