---
title: Forensics
description: "Acquérir, préserver et analyser les artefacts disque, mémoire et journaux d'un incident."
category: forensics
kind: technique
tags: [dfir, timeline, artifacts, disk, incident-response]
level: intermediate
updated: 2026-10-28
order: 2
aliases: ["digital forensics", "incident response"]
---

## Acquérir sans altérer

```bash
# Image disque brute avec hash
sudo dd if=/dev/sdb of=/evidence/disk.img bs=4M status=progress
sha256sum /dev/sdb | tee /evidence/disk.sha256
sha256sum /evidence/disk.img

# Alternative avec EWF (compression + métadonnées)
ewfacquire /dev/sdb -t /evidence/disk -f encase6 -c deflate

# Copie logique d'un dossier
rsync -aHAX --numeric-ids /mnt/evidence/ /evidence/copy/
```

> [!TIP]
> Note l'heure, l'opérateur, le hash et le numéro de série avant toute manipulation. Une image non hashée n'a aucune valeur en investigation.

## Analyse disque

```bash
# Partitions et systèmes de fichiers
mmls disk.img
fsstat -o 2048 disk.img

# Lister les fichiers (y compris supprimés)
fls -r -p -o 2048 disk.img > files.txt

# Extraire un fichier par inode
icat -o 2048 disk.img 12345 > extracted.bin

# Monter en lecture seule
sudo mount -o ro,loop,offset=$((2048*512)) disk.img /mnt/evidence
```

```bash
# Timeline MACB
fls -r -m / -o 2048 disk.img > body.txt
mactime -b body.txt -d -z UTC > timeline.csv

# Timeline complète avec Plaso
log2timeline.py --storage-file timeline.plaso disk.img
psort.py -o timeline.csv timeline.plaso
```

## Artefacts Windows

```bash
# Registre : ruches et clés d'exécution
regipy-dump -f NTUSER.DAT -o out.json
regipy-run -f SYSTEM

# Event logs
evtx_dump Security.evtx > security.xml
chainsaw hunt evtx/ --rules sigma/ --mapping mappings/sigma-event-logs-all.yml

# Prefetch / Amcache / Shimcache
pecmd.exe /d C:\Windows\Prefetch\*.pf
```

| Artefact | Chemin |
| --- | --- |
| Prefetch | `C:\Windows\Prefetch\*.pf` |
| Amcache | `C:\Windows\AppCompat\Programs\Amcache.hve` |
| Shimcache | `SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache` |
| MFT | `$MFT` |
| USN Journal | `$Extend\$UsnJrnl:$J` |
| Journaux | `C:\Windows\System32\winevt\Logs\*.evtx` |

## Artefacts Linux

```bash
# Authentification et commandes
grep -iE "accepted|failed|invalid" /var/log/auth.log
last -a
lastlog
cat ~/.bash_history

# Persistance
crontab -l
systemctl list-unit-files --state=enabled
ls -la /etc/cron.* /etc/systemd/system /etc/rc.local

# Connexions et processus
ss -tulpn
ps auxf
journalctl --since "2026-11-01" --no-pager
```

## Fichiers et métadonnées

```bash
# Type réel et métadonnées
file suspicious
exiftool suspicious
strings -n 8 suspicious | head -40

# Carving
foremost -i disk.img -o carved/
scalpel disk.img -o carved/
photorec disk.img

# Recherche de secrets
grep -rInE "password|token|BEGIN (RSA|OPENSSH)" /mnt/evidence 2>/dev/null
```

## Chaîne de custody

```text
1. Identifier la scène et les supports
2. Photographier / documenter avant saisie
3. Hacher et dupliquer (write-blocker si possible)
4. Travailler uniquement sur la copie
5. Journaliser chaque action (qui, quoi, quand, hash)
6. Stocker les preuves chiffrées et scellées
```

> [!WARNING]
> Ne monte jamais une image en écriture et ne lance pas d'antivirus sur les preuves : il modifie les timestamps. Sur un poste compromis, isole le réseau avant la collecte mémoire, sinon les malwares peuvent effacer leurs traces.