Les outils de criminalistique numérique recueillent des preuves sur les appareils numériques pour résoudre les cybercrimes. Voici tout ce qu’il faut savoir sur les meilleurs outils de criminalistique numérique et informatique disponibles aujourd’hui.
Qu’est-ce que la criminalistique numérique ?
La criminalistique numérique est le processus de découverte, de préservation, d’analyse, de documentation et de présentation de preuves provenant d’appareils numériques, qui peuvent être utilisées par un tribunal pour résoudre des cybercrimes. Un cybercrime implique un appareil numérique et un réseau, qui peuvent avoir servi à commettre un crime ou en avoir été la cible.
Dans les deux cas, la vaste quantité de données hébergées par ces systèmes peut s’avérer déterminante pour trouver des preuves. Selon des recherches, la cybercriminalité représentera un coût mondial annuel de 10,5 billions de dollars d’ici 2025. Il est donc évident que l’utilisation d’appareils numériques dans les enquêtes reposant sur la chaîne de conservation des preuves est essentielle.
Que sont les outils de criminalistique numérique ?
Avec le nombre de cybercrimes qui augmente chaque jour, les enquêteurs ont besoin d’outils de criminalistique numérique pour parcourir d’immenses quantités d’informations de manière sécurisée, efficace et conforme à la loi.
Les outils de criminalistique informatique simplifient la récupération des preuves et fournissent des rapports détaillés pouvant être utilisés dans le cadre de procédures judiciaires. Il existe plusieurs catégories de logiciels de criminalistique numérique, et nous recommandons l’achat d’un outil d’orchestration, c’est-à-dire d’une solution qui regroupe plusieurs technologies sur une même plateforme.
À lire aussi : Les meilleurs outils SIEM : gestion des informations et des événements de sécurité
Les meilleurs outils et logiciels de criminalistique numérique
The Sleuth Kit (TSK) et Autopsy
The Sleuth Kit (TSK) et Autopsy sont des outils de criminalistique numérique open source développés par Sleuth Kit. Autopsy est un programme simple doté d’une interface utilisateur graphique (GUI), qui permet d’examiner efficacement les smartphones et les disques durs. L’architecture modulaire du logiciel vous permet de développer des modules personnalisés en Python ou en Java, ou de découvrir des modules complémentaires.
TSK est un ensemble d’outils en ligne de commande et une bibliothèque C qui permettent d’examiner des images disque et d’en extraire des fichiers. Il est souvent utilisé en arrière-plan dans Autopsy.
Principaux atouts
- Vous pouvez collaborer avec des enquêteurs sur des dossiers volumineux.
- Le logiciel fournit une analyse chronologique pour aider à identifier les activités.
- Grâce à la recherche par mots-clés, vous pouvez trouver les fichiers qui contiennent certains termes et motifs d’expressions régulières.
- Le logiciel de criminalistique informatique recueille les activités des navigateurs web afin d’aider à identifier l’activité des utilisateurs.
- L’analyse du registre aide à identifier les appareils USB et les documents récemment consultés.
- L’analyse des fichiers LNK identifie les documents et les raccourcis consultés.
- L’outil prend en charge Android pour extraire les données des contacts, des journaux d’appels et des SMS.
- Le logiciel de criminalistique numérique dispose d’une infrastructure de génération de rapports extensible, qui permet de créer des rapports au format HTML, XLS et Body File pour les enquêtes.
- The Sleuth Kit prend en charge les systèmes de fichiers courants, tels que Yaffs2, ext2, ext3, ext4, ISO9660 (CD-ROM), HFS+, FAT12, FAT16, FAT32, exFAT, NTFS et UFS.
- Les autres fonctionnalités comprennent l’analyse des e-mails, les données EXIF, le tri par type de fichier, la lecture multimédia, l’affichage des miniatures, le filtrage par ensembles de hachage, les balises, l’extraction de chaînes Unicode et la détection du type de fichier.
Tarifs : Étant open source, TSK et Autopsy sont gratuits.
OpenText EnCase Forensic
OpenText EnCase Forensic d’OpenText Security est un outil de criminalistique numérique qui aide à rechercher, déchiffrer, recueillir et préserver les données de criminalistique provenant de nombreux appareils numériques, tout en garantissant la sécurité des preuves et en intégrant parfaitement les flux de travail d’enquête.
Principaux atouts
- Menez des enquêtes avec des performances optimisées, une prise en charge étendue des langues, une recherche avancée dans les index et des vitesses de traitement élevées.
- Fournit des modèles personnalisables pour créer des rapports professionnels simples, mais percutants.
- Le logiciel de criminalistique numérique est extensible grâce aux EnScripts, qui automatisent et rationalisent les tâches et vous permettent de mener des enquêtes approfondies.
- L’automatisation des flux de travail vous aide à naviguer facilement dans le logiciel et à découvrir efficacement les preuves.
- Prend en charge le chiffrement pour Symantec PGP v10.3, Dell Data Protection 8.17, Bitlocker XTS-AES et Microsoft Windows 10. Vous n’avez pas à vous soucier des retards inutiles, des dommages ou de la corruption des données.
- Prend en charge les sauvegardes Volume Shadow Snapshot (VSS) générées par Microsoft Windows, ce qui vous permet de récupérer des fichiers corrompus, modifiés ou supprimés ainsi que des volumes complets, et de comprendre ce qui a pu se produire sur un appareil avant son examen.
- Prend en charge Apple File System (APFS).
- La solution permet de contourner la sécurité Apple T2.
Tarifs : Contactez l’équipe commerciale d’OpenText pour connaître les tarifs.
CAINE
Environnement d’investigation assistée par ordinateur (CAINE) est une distribution GNU/Linux open source utilisable en mode live. CAINE fournit un environnement complet de criminalistique, conçu pour proposer une interface graphique conviviale et intégrer divers outils logiciels existants
Principaux atouts
- CAINE propose un environnement interopérable qui vous accompagne durant les différentes phases d’une enquête numérique.
- Vous pouvez démarrer CAINE depuis un périphérique de stockage externe et l’exécuter en mémoire, ou l’installer sur un système physique ou virtuel.
- En mode Live, CAINE peut fonctionner sur des périphériques de stockage sans démarrer de système d’exploitation (OS).
- CAINE 11.0, également connu sous le nom de Wormhole, est la version la plus récente et peut être utilisé sur des systèmes d’information démarrant Windows 10 et des systèmes d’exploitation plus anciens comme Windows NT.
- La solution propose l’extraction automatique des chronologies depuis la RAM.
- Vous pouvez importer des images disque aux formats brut et avancé.
- Vous pouvez intégrer des outils tels qu’Autopsy, TSK, PhotoRec et Wireshark.
- Pendant les phases de collecte, d’examen et d’analyse, vous devez préserver soigneusement toutes les notes d’examen. À la fin d’une enquête, CAINE fournit un rapport simple, mais complet, fondé sur ces notes.
Tarifs : CAINE est gratuit, puisqu’il est open source.
SIFT Workstation
SIFT Workstation de SANS Institute est un ensemble d’outils open source de criminalistique et de réponse aux incidents, conçu pour mener des enquêtes criminalistiques détaillées dans divers contextes. La plateforme de criminalistique numérique démontre qu’il est possible de mettre en œuvre des techniques de criminalistique numérique et des capacités avancées de réponse aux incidents avec des outils open source de pointe.
Principaux atouts
- Vous pouvez télécharger l’appliance VM SIFT Workstation, télécharger et installer le fichier ISO d’Ubuntu (dernière version), ou télécharger et installer la solution sur Windows à l’aide de Windows Subsystem for Linux (WSL).
- La plateforme offre de puissantes capacités d’analyse des images mémoire, des preuves réseau, des systèmes de fichiers, etc.
- L’appliance VM SIFT Workstation vous permet de créer des instantanés afin d’éviter la contamination des preuves criminalistiques d’un dossier à l’autre.
- La prise en charge des systèmes de fichiers comprend NTFS, ISO9660 CD, HFS+, les données brutes, l’espace d’échange, les données RAM, UFS1, UFS2, ext2, ext3, ext4, FAT12, FAT16 et FAT32.
- La solution offre également une prise en charge étendue des images de preuves et de la réponse aux incidents.
- Les logiciels pris en charge comprennent TSK, ClamAV, le framework Volatility et le framework Rekall.
- Vous pouvez créer une SUPER chronologie avec log2timeline.
- La plateforme fournit de nombreuses ressources pour découvrir les différentes facettes de la station de travail.
Tarifs : SIFT Workstation est gratuit.
À lire aussi : Killware est-il aussi dévastateur qu’il en a l’air ?
Volatility
Le framework Volatility de Volatility Foundation est un ensemble open source d’outils permettant de récupérer des artefacts numériques à partir de données RAM. Écrit en Python, ce framework avancé de criminalistique mémoire applique des techniques d’extraction indépendantes du système étudié, tout en offrant une visibilité sur son état d’exécution.
Principaux atouts
- Le framework est compatible avec les systèmes Windows, Linux, macOS et Android.
- Des algorithmes rapides et efficaces vous permettent d’analyser les données RAM de grands systèmes sans consommation ni surcharge mémoire superflues.
- Volatility prend en charge de nombreux formats de fichiers, notamment dd, le fichier hiberfil.sys, les fichiers dump, les fichiers d’instantanés VMware, E01 et FDPro.
- Profitez des plug-ins Volatility créés et maintenus par la communauté. Au moment de la rédaction, 15 contributeurs y participent.
- Vous pouvez explorer automatiquement la mémoire du noyau, effectuer une introspection de machine virtuelle et piloter votre bac à sable de logiciels malveillants.
- Analysez les structures de données liées au réseau, la mémoire de l’interface graphique, les tampons d’entrée et de sortie de la console ainsi que les historiques de commandes.
- Vous pouvez suivre gratuitement la formation Malware and Memory Forensics Training.
Tarifs : Volatility est gratuit.
Choisir ses outils de criminalistique numérique
Les outils de criminalistique numérique sont relativement récents, car l’analyse en direct des appareils numériques était la norme jusqu’au début des années 1990. À mesure que la complexité des appareils numériques augmentait, le besoin d’un logiciel de criminalistique informatique pour aider les enquêteurs est devenu évident. Aujourd’hui, le marché propose plusieurs options intéressantes.
Nous avons examiné les cinq meilleurs logiciels de criminalistique numérique dans ce guide. Veillez toutefois à effectuer vos propres recherches approfondies avant d’acheter un outil de criminalistique numérique.
À lire ensuite : Les meilleurs outils de piratage 2022 : logiciels de hacking éthique