Qu’est-ce que l’analyse légale numérique ?

L’analyse légale numérique est un domaine de l’informatique légale. Elle est utilisée pour enquêter sur les cybercrimes, mais peut également être utile dans le cadre d’enquêtes pénales et civiles. Les équipes de cybersécurité peuvent utiliser l’analyse légale numérique pour identifier les cybercriminels à l’origine d’une attaque par logiciel malveillant, tandis que les forces de l’ordre peuvent l’utiliser pour analyser les données provenant des appareils d’un suspect de meurtre.

L’analyse légale numérique a de nombreuses applications, car elle traite les preuves numériques comme toute autre forme de preuve. Les autorités suivent des procédures spécifiques pour collecter des preuves matérielles sur une scène de crime. De même, les enquêteurs en analyse légale numérique appliquent un processus d’informatique légale strict, appelé chaîne de possession, pour être certains de manipuler correctement les preuves numériques afin d’éviter toute falsification.

Les termes « analyse légale numérique » et « informatique légale » sont souvent utilisés de manière interchangeable. Cependant, l’analyse légale numérique implique techniquement la collecte de preuves à partir de tout appareil numérique, tandis que l’informatique légale se concentre spécifiquement sur les preuves provenant d’appareils informatiques tels que les ordinateurs, les tablettes, les téléphones portables et les appareils dotés d’un processeur central.

L’analyse légale numérique et la réponse aux incidents (DFIR) désigne une discipline de cybersécurité émergente qui combine l’informatique légale et les activités de réponse aux incidents afin d’améliorer les opérations de cybersécurité. Cela permet d’accélérer la remédiation des cybermenaces tout en garantissant que les preuves numériques associées ne soient pas compromises.

L'analyse légale numérique, ou science d'informatique légale numérique, est apparue pour la première fois au début des années 1980 avec l'essor des ordinateurs personnels et a gagné en importance dans les années 1990.

Cependant, ce n’est qu’au début du 21e siècle que des pays comme les États-Unis ont officialisé leurs politiques d’analyse légale numérique. Ce passage à la normalisation a découlé de l’augmentation des cybercrimes dans les années 2000 et de la décentralisation des forces de l’ordre à l’échelle nationale. 

Alors que les crimes impliquant les appareils numériques sont en hausse, de plus en plus d’individus sont impliqués dans la poursuite de telles infractions. Pour s’assurer que les enquêtes criminelles traitent les preuves numériques d’une manière recevable devant un tribunal, les autorités ont mis en place des procédures spécifiques.

Aujourd’hui, l’analyse légale numérique n’est devenue que plus pertinente. Pour comprendre pourquoi, il suffit de considérer la quantité massive de données numériques disponibles sur pratiquement tout et tout le monde.

Alors que la société s’appuie de plus en plus sur les systèmes informatiques et les technologies de cloud computing, les individus mènent une plus grande partie de leur vie en ligne. Cette évolution concerne un nombre croissant d’appareils, notamment les téléphones portables, les tablettes, les appareils IdO, les appareils connectés, etc.

Il en résulte un volume de données sans précédent provenant de plusieurs sources et formats. Les enquêteurs peuvent utiliser ces preuves numériques pour analyser et comprendre un éventail croissant d’activités criminelles, y compris les cyberattaques, les violations de données et les enquêtes pénales et civiles. 

Comme toutes les preuves, physiques ou numériques, les enquêteurs et les forces de l’ordre doivent les collecter, les manipuler, les analyser et les stocker correctement. Dans le cas contraire, les données peuvent être perdues, falsifiées ou rendues irrecevables devant un tribunal.

Les experts en informatique légale sont chargés de mener des enquêtes d’analyse légale numérique, et à mesure que la demande pour ce domaine grandit, les possibilités d’emploi augmentent également. Le Bureau of Labor Statistics des États-Unis estime que le nombre d’offres d’emploi en criminalistique informatique augmentera de 31 % d’ici 2029.

Le National Institute of Standards and Technology (NIST) décrit quatre étapes dans le processus d’analyse légale numérique. Ces étapes comprennent :

À l'apparition de l'analyse légale numérique au début des années 1980, il existait peu d'outils formels dédiés à ce domaine. La plupart des équipes d'informatique légale s'appuyaient sur l'analyse en direct, une pratique notoirement délicate qui présentait un risque élevé d'altération des preuves.

Vers la fin des années 1990, la demande croissante de preuves numériques a conduit au développement d’outils plus sophistiqués comme EnCase et FTK. Ces outils permettaient aux analystes d’informatique légale d’examiner des copies de supports numériques sans recourir à l’analyse en direct.

Aujourd'hui, les experts en informatique légale utilisent une large gamme d'outils d'analyse légale numérique. Ces outils peuvent être basés sur du matériel ou des logiciels et analysent les sources de données sans les altérer. Parmi les exemples courants, on trouve les outils d'analyse de fichiers, qui extraient et analysent des fichiers individuels, et les outils de registre, qui collectent des informations auprès des systèmes informatiques Windows, qui conservent un historique de l'activité des utilisateurs dans les registres.

Certains fournisseurs proposent également des outils open source dédiés à des fins d’analyse légale numérique spécifiques, tandis que des plateformes commerciales, comme EnCase et CAINE, offrent des fonctions complètes et des capacités de reporting. CAINE, en particulier, propose une distribution Linux entière adaptée aux besoins des équipes d’informatique légale.

L'analyse légale numérique regroupe des branches distinctes en fonction des différentes sources de données d’informatique légale.

Voici quelques-unes des branches les plus courantes de l'analyse légale numérique :

• Informatique légale (ou cybercriminalistique) : elle combine l'informatique et l'analyse légale pour collecter des preuves numériques à partir d'appareils informatiques.

• Analyse légale numérique des appareils mobiles : investigation et évaluation des preuves numériques sur les smartphones, les tablettes et autres appareils mobiles.

• Analyse légale numérique des bases de données : examen et analyse des bases de données et de leurs métadonnées associées afin de découvrir des preuves de cybercrimes ou de violations de données.

• Analyse légale numérique des réseaux : surveillance et analyse des données présentes dans le trafic des réseaux informatiques, y compris la navigation web et les communications entre appareils.

• Analyse légale numérique des systèmes de fichiers : examen des données contenues dans les fichiers et les dossiers stockés sur les appareils terminaux tels que les ordinateurs de bureau, les ordinateurs portables, les téléphones portables et les serveurs.

• Analyse légale numérique de la mémoire : analyse des données numériques présentes dans la mémoire vive (RAM) d'un appareil.

Lorsque l’informatique légale et la réponse aux incidents (détection et atténuation des cyberattaques en cours) sont menées séparément, elles peuvent interférer l’une avec l’autre, avec des conséquences néfastes pour l’organisation.

Les équipes de réponse aux incidents peuvent altérer ou détruire des preuves numériques tout en éliminant une menace du réseau. Les enquêteurs en informatique légale peuvent retarder la résolution de la menace au cours de la recherche et la collecte de preuves.

L’investigation numérique et la réponse aux incidents, ou DFIR, intègrent l’informatique légale et la réponse aux incidents dans un workflow intégré pour aider les équipes de sécurité des informations à combattre les cybermenaces de manière plus efficace, tout en préservant les preuves numériques qui pourraient être sinon perdues dans l’urgence de l’atténuation de la menace.

• Collecte de données légales en parallèle de l’atténuation des menaces : les intervenants en cas d’incident utilisent des techniques d’informatique légale pour collecter et préserver les données pendant qu’ils contrôlent et éliminent la menace. Ils veillent à ce que la chaîne de responsabilité soit respectée et à ce que les preuves précieuses ne soient pas modifiées ou détruites.

• Examen post-incident comprenant l’examen des preuves numériques : en plus de conserver les preuves en vue d’une action en justice, les équipes de la DFIR les utilisent pour reconstituer les incidents de cybersécurité du début à la fin. Ce processus permet de déterminer ce qui s’est passé, comment cela s’est produit, l’étendue des dégâts et la manière d’éviter des attaques similaires dans le futur.
  

La DFIR peut permettre d’atténuer plus rapidement les menaces, d’assurer une récupération plus efficace et d’améliorer les preuves dans le cadre d’enquêtes sur des affaires criminelles, des cybercrimes, des demandes d’indemnisation et d’autres incidents de sécurité.