Analyse Forensique : définition, techniques et métiers

Qu’est-ce qu’une analyse forensique, ou forensic ?

En sécurité informatique, l’analyse forensique désigne l’art d’enquêter sur les incidents informatiques pour en comprendre l’origine, la portée et les conséquences. En cas de cyberattaque par exemple, les analystes forensic essaient de retrouver les traces numériques laissées par les attaquants pour pouvoir les identifier. Mais en plus de collecter, d’analyser et d’interpréter ces preuves, ils doivent également garantir leur intégrité, sans quoi elles pourraient ne pas être recevables devant la justice.

La notion de « forensique » est donc étroitement liée à celle de « rendre justice », et en s’intéressant à l’étymologie de ce mot, on comprend mieux pourquoi. « Forensique » est en effet dérivé du latin « forum », du nom du lieu public où se tenaient autrefois les jugements. En anglais, la forensic est d’ailleurs relativement large, puisqu’elle désigne l’utilisation de méthodes scientifiques pour élucider toutes sortes de crimes. En français néanmoins, ce mot évoque surtout les enquêtes numériques liées à la cybersécurité, et on peut entendre parler de la forensique sous différentes appellations :

• Analyse forensique
• Forensique informatique
• Digital forensic
• Cyber forensic

Dans quels cadres utilise-t-on l’analyse forensique ?

Si l’on vous parle d’enquête forensique, vous imaginez peut-être un scénario digne d’une série policière, où des enquêteurs parviendraient à déjouer un crime à l’aide de quelques clics. Mais si l’analyse forensique s’utilise effectivement dans le cadre judiciaire, elle a également bien d’autres applications :

• La cybersécurité : lorsqu’une entreprise détecte une intrusion ou un vol de données, elle recourt à l’analyse forensique pour tenter d’identifier les attaquants et pour comprendre comment l’attaque a eu lieu afin de corriger les failles de sécurité exploitées.  
• Les tests de pénétration : les hackers éthiques et consultants en cybersécurité peuvent se servir du forensic pour tester et renforcer la sécurité des infrastructures numériques.  
• La lutte contre la cybercriminalité : les forces de l’ordre mènent des enquêtes forensiques pour tracer, identifier et poursuivre les cybercriminels.  
• L’investigation judiciaire : un juge peut ordonner une analyse forensique pour récupérer des preuves numériques dans des affaires de piratage, des litiges commerciaux ou en cas de fraudes internes dans une entreprise.  
• Le renseignement et l’espionnage : États et agences de renseignement utilisent la forensique informatique pour surveiller les cybermenaces et essayer de les contrer.

Quel est le cadre juridique de l’analyse forensique ?

Une preuve mal collectée ou non conforme peut être rejetée en justice et compromettre toute une enquête. L’analyse forensique se doit donc d’être rigoureuse et transparente, et respecter des règles strictes :

• Le RGPD (Règlement Général sur la Protection des Données), qui définit les règles que doivent respecter les organisations de l’UE quant au stockage, au traitement et à l’analyse des données personnelles.
• Les règles établies par la CNIL (Commission Nationale de l’Informatique et des Libertés), qui encadre les processus de collecte et d’analyse des données personnelles en France et vérifie le respect du RGPD.
• Le Code pénal, qui définit que seules les preuves forensiques dont l’intégrité peut être vérifiée sont recevables devant les tribunaux.

Sur ce dernier point, plusieurs techniques peuvent vous permettre de rendre une preuve numérique valide :

• L’établissement d’une chaîne de conservation, qui implique de documenter tout accès ou toute modification des preuves.
• Les empreintes cryptographiques (hash SHA256, MD5, etc.), qui permettent de prouver qu’un fichier n’a pas été altéré.
• L’établissement de rapports d’analyses détaillés, qui récapitulent les méthodes utilisées lors de l’investigation, les résultats obtenus et leurs interprétations objectives.

Comment fonctionne l’analyse forensique ?

Quels sont les 3 types d’analyse forensique

Il existe 3 types d’analyse forensique :

• L’analyse à froid (ou dead forensic), qui consiste à dupliquer le contenu d’un système pour l’examiner en profondeur sur un autre support sans risquer d’altérer le système d’origine. Aucune donnée n’étant modifiée, cette méthode permet de préserver l’intégrité des preuves.  
• L’analyse à chaud (ou live forensic), qui consiste à examiner un système encore en fonctionnement pour récupérer des données volatiles (RAM, connexions actives, processus en cours). Elle permet notamment d’accéder à des informations qui disparaîtraient à l’extinction du système, et de capturer les traces laissées par les malwares actifs.  
• L’analyse en temps réel (ou network forensic), qui consiste à surveiller et à capturer le trafic réseau en direct pour détecter si une attaque est en cours. Cette méthode permet une détection quasi-immédiate des intrusions et réduit donc vos temps de réaction et les dégâts potentiels. Elle est particulièrement adaptée pour traquer les attaques de type Man-in-the-Middle ou les tentatives d’exfiltration de données.

Quelles sont les étapes de l'analyse forensique en cybersécurité ?

Bien menée, une enquête forensique doit permettre de renforcer la cyberdéfense de l’organisation attaquée. Dans certains cas, elle pourra même permettre de retrouver la trace des hackers à l’origine de l’attaque. Mais pour cela, elle doit suivre une méthodologie stricte :

1. Identification de l’incident : tout commence par la détection d’une anomalie (intrusion suspecte, vol de données, malware…). Les analystes doivent alors évaluer la situation et déterminer l’ampleur de l’incident.
2. Acquisition : il faut ensuite sécuriser et collecter les preuves de l’intrusion, sans les altérer. Disques durs, logs système, mémoire vive, trafic réseau… ces traces numériques (appelées artefacts forensic) doivent être conservées dans leur état original via des copies bit à bit pour garantir leur authenticité.
3. Investigation forensique à proprement parler : il faut ensuite reconstituer l’attaque grâce aux artefacts récupérés afin de comprendre ce qu’il s’est passé. Il s’agit essentiellement de reconstituer la timeline des évènements, de comprendre comment les attaquants ont réussi à s’introduire dans votre système d’information, d’identifier ce qu’ils y ont fait exactement, et quels sont les résultats concrets de l’attaque (vol d’informations, installation de malwares…).
4. Documentation du processus et création d’un rapport : pour que les données exploitées et analysées soient recevables devant la justice, chaque étape de l’enquête doit être consignée dans un rapport et accompagnée de preuves vérifiables et horodatées ; ce rapport est complété par les réponses aux questions posées lors de l’investigation, l’identité des hackers si elle a été découverte, et des recommandations pour éviter que le problème ne se reproduise.
5. Présentation du rapport : le rapport est ensuite présenté aux décideurs pour qu’ils puissent prendre les décisions adaptées (porter plainte, correction des failles à l’origine du problème, renforcement de la politique de cybersécurité…).
6. Actions de remédiation éventuelles : pour éviter un nouvel incident, il est primordial de corriger les failles à l’origine du premier.

Quelles techniques sont utilisées dans une analyse forensique ?

Lors d’une analyse forensique, les enquêteurs usent de plusieurs techniques, dont voici les principales :

• Clonage bit à bit : pour assurer leur intégrité et préserver les preuves originales, les analystes commencent par les copier à l’identique.  
• Reverse engineering : technique avancée qui consiste à désassembler un malware pour comprendre son fonctionnement et tenter d’identifier son créateur.  
• Analyse des logs : l’historique des activités (connexions, modifications de fichiers, exécutions de programmes) est scruté pour retracer les actions des cybercriminels.  
• Analyse de la mémoire vive (ou RAM forensics) : certaines cyberattaques peuvent laisser des traces temporaires dans la RAM, et en l’analysant, il est ainsi possible de récupérer des indices.  
• Analyse des métadonnées : s’ils n’ont pas été purgés, les fichiers contiennent des métadonnées qui peuvent dévoiler des informations clés (auteur, date de création ou de dernière modification, données utiles pour détecter des fichiers qui auraient été compromis pendant la cyberattaque…).  
• Carving de fichiers supprimés : à l’aide d’outils dédiés, il est possible de récupérer certains fichiers que les pirates auraient pu supprimer pour essayer de couvrir leurs traces.  
• Analyse réseau : observation du trafic en temps réel pour détecter des communications suspectes entre un éventuel attaquant et une machine compromise.

Quels outils sont utilisés en forensic ?

Pour collecter et analyser les preuves numériques, les experts forensics utilisent des logiciels de cybersécurité spécialisés :

• Autopsy, une interface open-source complète utilisée pour analyser des disques durs et essayer de récupérer des fichiers supprimés, examiner la timeline des événements, filtrer les fichiers suspects, rechercher des mots-clés dans les documents, extraire les artefacts web (historique, cookies, favoris), analyser les métadonnées des images et vidéos et détecter les malwares.
• Volatility, un outil qui permet d’analyser la RAM pour y repérer des malwares.
• FTK Imager, utilisé pour cloner des disques durs et réaliser des copies forensic conformes aux standards judiciaires.
• Wireshark, indispensable pour analyser le trafic réseau et détecter des intrusions.
• John the Ripper, utilisé pour casser les mots de passe stockés dans les fichiers systèmes.
• X-Ways Forensics, qui offre un environnement de travail avancé aux experts en forensique.

Quelles sont les branches spécialisées de l’analyse forensique ?

Selon la nature d’une enquête et les supports étudiés, plusieurs branches de la forensique peuvent entrer en scène.

Forensic informatique

Branche mère du forensic numérique, le forensic informatique se concentre sur l’analyse des systèmes informatiques après une attaque. L’objectif est simple : retrouver des traces exploitables pour comprendre ce qu’il s’est passé et tenter d’identifier l’attaquant.

Le forensic informatique étudie ainsi principalement les disques durs, les fichiers systèmes, les logs, ainsi que les données supprimées ou cachées.

Forensic réseau

Avec le forensic réseau, les enquêtes se focalisent sur les communications réseau pour tenter de détecter des intrusions, des fuites de données ou repérer les attaques en cours.

Pour cela, ils utilisent des outils tels que Wireshark, Snort ou Zeek.

Forensic mobile

En moyenne, en 2024 les Français passaient entre 4 et 5 heures par jour sur leurs smartphones. Dans ce contexte, on comprend pourquoi le forensic mobile est devenu un élément indispensable des investigations numériques.

Téléphones et tablettes sont ainsi passés au crible. Messages, appels, historique GPS, contenu des applications… rien n’échappe aux enquêteurs.

Forensic cloud

Devenu un nouvel indispensable pour beaucoup d’entreprises, ces dernières années les infrastructures cloud se sont multipliées. Mais elles sont également devenues une cible de choix pour les cybercriminels, ce qui explique l’émergence du forensic cloud, qui vise à identifier les compromissions dans les environnements cloud.

La particularité du cloud forensic, c’est que les enquêteurs doivent collaborer avec les fournisseurs cloud pour garantir la conformité de leurs investigations. Les données analysées sont en effet rarement stockées sur des serveurs appartenant à l’organisation attaquée, ce qui soumet leur extraction à d’autres obligations.

Forensic IoT

Apparu en même temps que les objets connectés, le forensic IoT vise à analyser les données et logs des objets connectés (caméras, enceintes, montres, capteurs industriels…).

Il permet notamment d’enquêter sur des piratages de systèmes domotiques, les vols de données ou les cyberattaques ciblant des infrastructures critiques. Mais s’il est utilisé en cybersécurité, il trouve également son importance lors d’enquêtes judiciaires plus classiques, où il peut aider à retracer le déroulé des évènements.

Forensic industriel (sur systèmes SCADA)

Le forensic industriel s’intéresse aux systèmes SCADA, utilisés pour surveiller le bon fonctionnement des équipements industriels et essentiels dans les usines, centrales électriques et infrastructures critiques.

Cette spécialisation du forensic s’est notamment développée après l’affaire Stuxnet, la première cyberattaque qui a eu des conséquences directes sur le monde réel en mettant un coup de frein au programme nucléaire iranien.

Exemples concrets de forensic

Avec ces 3 cas concrets, vous comprendrez mieux comment l’analyse forensique peut être utilisée dans la lutte contre la cybercriminalité :

Exemple 1 : identification du point d’entrée après une cyberattaque par ransomware

Une entreprise est victime d’une attaque par ransomware et voit tous ses fichiers être chiffrés. Plutôt que de payer la rançon demandée par les attaquants, les décideurs préfèrent faire intervenir des experts en forensique.

Ces derniers démarrent alors leur enquête et analysent :

• Les logs des serveurs pour avoir des informations sur la première intrusion.
• Le réseau pour détecter les connexions suspectes, effectuées via des IP inhabituelles voire malveillantes.
• La mémoire RAM pour récupérer une éventuelle clé de chiffrement ou d’autres traces du malware.

Verdict ? L’attaque a été déclenchée par un clic sur un lien de phishing, permettant aux hackers d’installer le ransomware sur le système. Mais coup de chance ! L’analyse mémoire a permis de retrouver la clé de chiffrement, encore stockée sur la RAM, permettant aux experts de développer un decryptor et de restaurer l’ensemble des fichiers sans que l’entreprise n’ait à payer la rançon.

Exemple 2 : retracer les activités d’un suspect

Un hacker anonyme est soupçonné d’avoir mené une campagne de fraude en ligne via le dark web. Lors d’une perquisition à ce qu’elles supposent être le domicile du cybercriminel, les forces de l’ordre ont récupéré un disque dur dont les données ont été effacées.

• Les enquêteurs tentent alors de récupérer les fichiers supprimés sur ce disque, et y trouvent un malware.  
• Ils utilisent ensuite le retro engineering pour déterminer si ce malware est celui utilisé lors de l’attaque.

Verdict ? L’analyse forensique révèle que le malware retrouvé sur le disque dur correspond exactement à celui utilisé lors de la campagne de fraude en ligne, permettant d’établir un lien direct entre le suspect et l’attaque.

Exemple 3 : identifier l’origine d’une fuite de données dans une entreprise

Une entreprise constate que certains de ses documents confidentiels ont fuité sur le dark web, mais aucune intrusion externe n’est détectée, ce qui laisse penser à un vol interne.

Un analyste forensic intervient alors :

• Il analyse les logs de connexion pour voir qui a accédé aux fichiers avant la fuite.  
• Il essaie de retracer le chemin de ces fichiers pour identifier leur point de sortie.  
• Il examine ensuite les appareils et leurs sessions utilisateurs pour retrouver la trace d’une éventuelle exfiltration (via une clé USB ou un cloud personnel par exemple).

Verdict ? L’enquête forensique révèle qu’un employé a copié ces fichiers juste avant de quitter l’entreprise. Grâce à ces preuves, la société peut prendre des mesures à l’encontre de son ancien collaborateur, et également renforcer sa politique de sécurité.

Quels sont les métiers liés à l’analyse forensique ?

Qui sont les experts de l’enquête numérique ?

Plusieurs métiers de la cybersécurité peuvent recourir à l’analyse forensique :

• L’analyste forensic, véritable spécialiste des investigations numériques dont le but est de collecter et d’analyser les preuves après une cyberattaque.
• Les analystes CERT ou CSIRT, qui interviennent pour contenir les incidents en cours, puis les analysent a posteriori pour éviter qu’ils ne se reproduisent.
• Les analystes SOC, qui surveillent les systèmes d’information en temps réel, détectent les anomalies et utilisent l’analyse forensique pour mener des investigations approfondies en cas d’incident.
• Les pentesters et les membres de la Red Team, qui utilisent la forensique pour analyser les effets de leurs tests de pénétration, identifier les traces laissées après leurs intrusions et proposer des contre-mesures pour améliorer la défense des systèmes attaqués.
• L’ingénieur en reverse engineering, qui analyse les logiciels malveillants découverts lors de l’enquête pour comprendre leur fonctionnement.
• L’enquêteur spécialisé en cybercriminalité, qui traque les fraudes, piratages et crimes informatiques via des techniques de forensic et d’OSINT. Il travaille souvent pour les forces de l’ordre ou des agences privées.
• Le consultant en cybersécurité, qui peut intervenir après une cyberattaque pour essayer d’en remonter l’origine afin de corriger les failles qui l’ont rendue possible.

Quelles certifications permettent de se spécialiser en analyse forensique ?

Pour valider vos compétences et les faire reconnaître sur le marché du travail, vous pouvez passer des certifications en cybersécurité spécialisées en analyse forensique. Pour faciliter votre choix, nous avons regroupé les plus populaires dans ce tableau comparatif :

Julien Fournari

SEO & Growth Manager

Julien occupe le poste de SEO & Growth Manager chez Jedha depuis Mexico. Sa mission est de créer et d'orchestrer du contenu pour la communauté Jedha, de simplifier les processus et de dénicher de nouvelles opportunités, tant pour Jedha que pour ses étudiants, en exploitant sa maîtrise du digital.