Faut-il collecter des preuves sur les décombres de l'attaque (forensics) ? Qui s'en charge ? Comment ça se passe ?

embauche un expert en informatique judiciaire porte plainte à la plice aussi... ne touche pas au disque fais faire une image par un pro... franchement trouve la timeline le malware et rédige le rapport. documente la chaîne de custody — les preuves doivent être recevables en justice...

Workflow de criminalistique numérique : 1) Acquisition (outil dd : dd if=/dev/sda of=image.img bs=1M, vérification du hash MD5), 2) Analyse (FTK Imager, EnCase, analyse de la mémoire avec Volatility), 3) Chronologie (horodatages des fichiers : création, modification, accès — MAC times), 4) Récupération d'artefacts (ruches du Registre Windows, cache du navigateur, bases de données de mails), 5) Analyse de logiciels malveillants (statique + dynamique : exécution en sandbox, analyse des dumps mémoire), 6) Rapport (format SANS : méthodologie, constats, recommandations). Chaîne de custody : identifiant de l'appareil, date/heure de remise, signature de la personne qui a manipulé, conditions de conservation, journal d'accès (qui, quand). Recevabilité judiciaire (Code de procédure pénale turc) : certificats de compétence, validation de la méthodologie, reproductibilité (un autre expert peut-il obtenir le même résultat).

touche pas à l'ordi engage un expert en forensic. fais une image disque, documente le hash. documente la chaîne de custody — qui l'a quand. dans le rapport : chronologie analyse malware. l'admissibilité de la preuve en droit dépend de la justesse de la méthodologie...

Phases de l'enquête forensic : Préservation (capture immédiate des preuves, aucune modification système), Acquisition (copie bit à bit, vérification du hash cryptographique), Examen (parsing des données, extraction d'artefacts), Analyse (reconstruction de la chronologie, lien de causalité), Rapport (documentation structurée, validation des constats). Assurance qualité : vérification indépendante (revue par un second analyste), validation des outils (uniquement logiciels forensiques approuvés), qualification de l'expert (certifications : GCFE, CFE, ECCE). Admissibilité juridique : standard Daubert (tribunaux US) ou équivalent (les tribunaux UE/TR exigent une méthodologie évaluée par les pairs, des taux d'erreur connus et une acceptation générale dans le domaine).

Mes doutes sont levés, merci. Quand on décide sans mesurer, on revient toujours au même point.

Je suis aussi curieux de savoir si d'autres font autrement.

Nous avons vécu presque la même chose l'année dernière. Le temps que vous mettez à détecter un problème détermine directement son coût.

Je le note au cas où.

Il est rare de trouver un texte qui explique les choses aussi clairement. Les décisions hâtives finissent par être corrigées six mois plus tard.

mrci beaucoup je teste dès aujourd'hui. lors de la prise de décision écrivez aussi le pire scénario pas seulement le meilleur.

prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

il est rare de trouver un texte qui eplique les choses aussi clairement.

Je ne peux pas totalement adhérer à cela. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Je suis d'accord. Si c'est une première, commencez petit, l'échelle viendra plus tard.

À votre place, j'irais par cette voie.

C'est globalement vrai, mais il manque un point. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

J'espère que cela vous sera utile.

La solution qui semble bon marché finit souvent par coûter cher. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant j'ai appris cela trop tard.

Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger. Bien sûr, cela change si votre situation est différente.

je suis d'accord j'aimerais même souligner ce point. quand on essaie de tout changer en même temps, rien ne prend.

je suis aussi curieux de savoir si d'autres font autrement.

Le point le plus souvent négligé concernant expertise informatique judiciaire est : Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Avant de décider, regardez quelles données vous avez en main. Je suis aussi curieux de savoir si d'autres font autrement.

Ne manquez rien : Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Une sauvegarde non testée n'est pas une sauvegarde.

C'est une bonne idée d'avoir ouvert ce sujet. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Voilà, désolé si je me suis étendu.

Oui la situation est exactement ainsi concernant expertise informatique judiciaire. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle. Voilà désolé si je me suis étendu.