Forensics — technique

#Acquérir sans altérer

bash

# Image disque brute avec hash
sudo dd if=/dev/sdb of=/evidence/disk.img bs=4M status=progress
sha256sum /dev/sdb | tee /evidence/disk.sha256
sha256sum /evidence/disk.img

# Alternative avec EWF (compression + métadonnées)
ewfacquire /dev/sdb -t /evidence/disk -f encase6 -c deflate

# Copie logique d'un dossier
rsync -aHAX --numeric-ids /mnt/evidence/ /evidence/copy/

#Analyse disque

bash

# Partitions et systèmes de fichiers
mmls disk.img
fsstat -o 2048 disk.img

# Lister les fichiers (y compris supprimés)
fls -r -p -o 2048 disk.img > files.txt

# Extraire un fichier par inode
icat -o 2048 disk.img 12345 > extracted.bin

# Monter en lecture seule
sudo mount -o ro,loop,offset=$((2048*512)) disk.img /mnt/evidence

bash

# Timeline MACB
fls -r -m / -o 2048 disk.img > body.txt
mactime -b body.txt -d -z UTC > timeline.csv

# Timeline complète avec Plaso
log2timeline.py --storage-file timeline.plaso disk.img
psort.py -o timeline.csv timeline.plaso

#Artefacts Windows

bash

# Registre : ruches et clés d'exécution
regipy-dump -f NTUSER.DAT -o out.json
regipy-run -f SYSTEM

# Event logs
evtx_dump Security.evtx > security.xml
chainsaw hunt evtx/ --rules sigma/ --mapping mappings/sigma-event-logs-all.yml

# Prefetch / Amcache / Shimcache
pecmd.exe /d C:\Windows\Prefetch\*.pf

Artefact	Chemin
Prefetch	`C:\Windows\Prefetch\*.pf`
Amcache	`C:\Windows\AppCompat\Programs\Amcache.hve`
Shimcache	`SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache`
MFT	`$MFT`
USN Journal	`$Extend\$UsnJrnl:$J`
Journaux	`C:\Windows\System32\winevt\Logs\*.evtx`

#Artefacts Linux

bash

# Authentification et commandes
grep -iE "accepted|failed|invalid" /var/log/auth.log
last -a
lastlog
cat ~/.bash_history

# Persistance
crontab -l
systemctl list-unit-files --state=enabled
ls -la /etc/cron.* /etc/systemd/system /etc/rc.local

# Connexions et processus
ss -tulpn
ps auxf
journalctl --since "2026-11-01" --no-pager

#Fichiers et métadonnées

bash

# Type réel et métadonnées
file suspicious
exiftool suspicious
strings -n 8 suspicious | head -40

# Carving
foremost -i disk.img -o carved/
scalpel disk.img -o carved/
photorec disk.img

# Recherche de secrets
grep -rInE "password|token|BEGIN (RSA|OPENSSH)" /mnt/evidence 2>/dev/null

#Chaîne de custody

text

1. Identifier la scène et les supports
2. Photographier / documenter avant saisie
3. Hacher et dupliquer (write-blocker si possible)
4. Travailler uniquement sur la copie
5. Journaliser chaque action (qui, quoi, quand, hash)
6. Stocker les preuves chiffrées et scellées