Taking Forensic Images
Extracted from Incident Response(2).pdf - source PDF page(s) 119-120.
Il est important de préserver autant de preuves que possible afin que les défenseurs puissent tirer les leçons d'un incident en déterminant quelles tactiques, techniques et procédures (TTP) ont été utilisées et en collectant des indicateurs de compromission qui peuvent être partagés avec d'autres organisations pour les aider à se défendre contre des attaques similaires. Des images médico-légales des disques durs des systèmes concernés doivent être prises, ainsi que des vidanges de mémoire pour capturer tout artefact susceptible de se trouver dans la RAM.
Dans certains cas, l'image scientifique du lecteur peut être stockée sur une clé USB afin que plusieurs analystes puissent l'analyser et faciliter son stockage, au lieu d'en avoir une seule copie sur un ordinateur portable ou un poste de travail médico-légal.
FTK Imager et KAPE
Dans les leçons « Imagerie de disque : FTK Imager » et « Live Acquisition : KAPE » dans le domaine de la criminalistique numérique, nous avons expliqué comment collecter de la mémoire et prendre une image de disque à l'aide de ces outils. Si vous souhaitez lire une explication détaillée de la collecte de preuves, nous vous recommandons de suivre ces leçons avant celle-ci, car le processus de réponse aux incidents est le même. Nous vous donnerons ci-dessous un bref aperçu de la manière dont les images médico-légales seraient prises.
Dans une situation réelle, un intervenant en cas d'incident doté de compétences en criminalistique numérique aurait accès au ou aux systèmes concernés et les utiliserait pour recueillir rapidement des preuves KAPE à partir de lieux instables tels que la mémoire vive. Les disques durs seraient ensuite connectés à un bloqueur d'écriture matériel, qui est connecté à un ordinateur portable ou à un poste de travail médico-légal. Cela permet à l'analyste judiciaire d'effectuer une copie bit par bit du disque
dur sans que son appareil ne modifie quoi que ce soit sur le disque suspect. Les hachages seront comparés entre le lecteur d'origine et l'image du disque pour s'assurer qu'ils sont exactement identiques. L'image disque nouvellement générée sera ensuite copiée et l'original sera placé dans un stockage sécurisé, ce qui permettra aux analystes d'examiner une copie de l'image disque, en préservant à la fois les preuves originales et la copie initiale. Les analystes judiciaires collecteront ensuite des preuves comme indiqué dans la section « Collecte de preuves numériques » du domaine de criminalistique numérique.
Bureaux virtuels
Si les utilisateurs n'utilisent pas d'appareils physiques et qu'au lieu de travailler sur des bureaux virtuels, tels que les environnements Citrix, nous adopterons une approche différente pour collecter une image disque en vue d'une analyse ultérieure et de la collecte de preuves. Dans ce cas, nous prendrions un instantané du système virtuel, le monterions sur une autre machine virtuelle conçue dans un souci de criminalistique, telle que Sift, puis nous prendrions une image disque du cliché monté.