15 mai 2017

Analyse inforensique simple avec des outils gratuits

Lors d'une discussion avec un Officier de Police Judiciaire, celui-ci me demandait comment faire une analyse de disque dur sans budget logiciel, tout en garantissant un bon niveau d'investigation.

Après avoir pris les précautions d'usage consistant à dire qu'on ne peut pas mener à bien des investigations techniques sans comprendre ce que l'on fait, je me suis dit que je pouvais faire sur ce blog une proposition (SGDZ), même si celle-ci peut éventuellement faire hurler les techniciens les plus pointus sur ces sujets (je trolle un peu aussi à ma manière).

Mon hypothèse de travail va consister à prendre le cas le plus répandu : un ordinateur sous Windows, non chiffré, avec un usage bureautique basique. L'objectif est de trouver un fichier présent sur le disque, éventuellement effacé.

1) Préserver les éléments de preuve au maximum.

Le disque de stockage de l'ordinateur ne doit pas être modifié. Or, un démarrage du système d'exploitation modifie plusieurs informations du disque, modifie des caches, procède éventuellement à des mises à jour, des connexions internet, etc. Il faut donc travailler sur une copie du disque d'origine.

2) Copier les données.

Parmi toutes les manières de procéder à la copie des données du disque de stockage, je vais présenter celle qui me semble la plus simple, même si elle n'est pas sans risque.

Les données sont aujourd'hui de plus en plus stockées sur un disque SSD, ou sur des mémoires flash plus ou moins propriétaires. Il n'est pas toujours facile de démonter le disque de stockage pour le placer sur une plate-forme adaptée, avec bloqueur d'écriture et connecteurs ad hoc.

Il est possible de démarrer l'ordinateur sur une clef USB appropriée, à condition de connaître parfaitement la procédure de démarrage sur clef USB spécifique de l'ordinateur.

Il faut donc se documenter le plus possible (sur internet) sur le modèle d'ordinateur, et sa procédure d'accès au choix du périphérique de démarrage (touche Echap, ou F1, ou F2, ou F11, ou F256, ou Suppr...).

Ma recommandation est de retirer si possible le disque de l'ordinateur et de faire des essais "à vide" pour être sur de démarrer correctement sur la clef USB.

J'utilise une clef USB de démarrage DEFT qui fonctionne pour tous les ordinateurs que j'ai rencontrés pour l'instant. Cette clef a la particularité de protéger tous les disques contre l'écriture (de manière logicielle), en plus de disposer de nombreux outils d'investigation qu'il serait trop long de présenter ici (mais qui sont très intéressant).

Une fois le démarrage sur clef USB DEFT effectué, il ne reste plus qu'à brancher un disque externe de capacité suffisante sur l'ordinateur et d'utiliser la commande dd, ou dd_rescue, ou ddrescue pour effectuer une image bit à bit du disque de stockage. Attention de bien vérifier les noms logiques des devices : il est préférable de savoir bien différencier le disque cible du disque source, surtout qu'il faudra bien passer le disque destiné à contenir l'image en lecture/écriture. Il faut comprendre ce que l'on fait.

Une fois la copie terminée, éteindre l'ordinateur et souffler un peu car le contenu du scellé est préservé (si l'ordinateur n'est pas tombé en panne JUSTE pendant ce moment là, auquel cas, il faudra faire jouer son assurance en responsabilité civile NECESSAIREMENT prise pour ce type d'activité).

3) Analyse des données de la copie.

Chacun est libre du choix de ses outils préférés (GNU/Linux, Windows, FreeBSD, etc.), mais comme la plupart des enquêteurs sont sous Windows, je recommande l'outil gratuit OSFMount qui permet de monter en lecture seule une image dd sous Windows (qui sera attribuée à un lecteur disponible, G: par exemple).

Cela permet de se promener sur le contenu (de l'image) du disque, sans modifier son contenu. Cela permet d'utiliser tous les outils de récupération de données,  tels que Recuva ou PhotoRec, ainsi que la version Windows de The Sleuth Kit (TSK).

Vous pouvez également utiliser tous les outils de la LiberKey, en particulier SearchMyFiles ou Everything.

Conclusion :

Il est possible d'utiliser des outils gratuits pour faire une analyse des données d'un support de stockage. MAIS cela ne dispense pas de SAVOIR ce que l'on fait et oblige à COMPRENDRE les concepts en jeu.

On ne s'improvise donc pas expert informatique.

Par contre, ces outils étant gratuits, ils sont faciles d'accès et permettent à une personne curieuse de s’entraîner, par exemple sur un vieux disque, et parfois de sauver une situation où la sauvegarde est un peu ancienne...

7 commentaires:

  1. Bonjour, Guymager est une bonne alternative a dd. Il a une interface graphique. Il est sur DEFT ou DEFT0

    RépondreSupprimer
    Réponses
    1. Quand vous bootez sur une machine inconnue, il est possible que le graphisme ne soit pas géré par le système DEFT de la clef USB. C'est pourquoi, sur ce type d'intervention, je privilégie la ligne de commande.

      Supprimer
  2. "Inforensique", quel horrible anglicisme !

    RépondreSupprimer
    Réponses
    1. Moi, j'aime bien. Comme quoi, les goûts et les couleurs ;-)

      Supprimer
  3. Bonjour, merci pour cet article très sympa. Pour ma part j'aime bien aussi FTK Imager, Paladin (et Paladin Edge), Autopsy...
    Concernant l'extraction du disque pour essais de la méthode de boot, je trouve qu'il peuvent être tout à fait convenable (notamment dans les situations urgentes) de lancer une recherche directement sur le disque derrière bloqueur plutôt que réaliser une copie. (pour l'exemple il s'agissait de rechercher un fichier sous windows). Je reconnais qu'on s'éloigne des protocoles admis, mais au final, le disque peut prendre autant de risques à tomber en panne pendant la réalisation de la copie bit à bit, que pendant la recherche du dit-fichier.
    Je reconnais que la réalité est souvent plus complexe et les recherches sont plus "avancées" que cela, et donc nécessitent plus de temps de traitement.
    Deux petits détails qui ne sont pas évoqués : la notion d'image-disque ou de clone, et celle de "hash".
    Un article qui serait intéressant serait justement la prise en compte d'un support SSD en abordant la problématique des risques liés au trimming géré par le firmware du disque et potentiellement de la non-concordance du hash de la copie par rapport à l'original.
    Bonne continuation ;-)
    JLuc

    RépondreSupprimer
  4. "Inforensique" quel horrible calembour-latiniste!

    http://www.grand-dictionnaire-latin.com/dictionnaire-latin-francais.php?parola=forensis

    RépondreSupprimer

Lectrice, admiratrice, avocate, magistrate, programmeuse, dessinatrice, chère consœur, femmes de tous les pays, lecteur, j'ai toute confiance en vous pour prendre bien soin de vérifier que votre prose est compatible avec les normes orthographiques et grammaticales en vigueur. Et si vous pouviez éviter les propos insultants ou haineux, je vous en serais reconnaissant.
N'hésitez pas à respecter ces quelques règles qui peuvent même s'appliquer en dehors de ce blog.

Les commentaires sur ce blog sont modérés. Votre message apparaîtra sur le blog dès que le modérateur l'aura approuvé. Merci de votre patience.