Sem 3 Cours Flashcards by Caroline Perrin

Que devons nous faire après la préservation d’un appareil?

Il est nécessaire d’accéder et d’acquérir le contenu de cet appareil afin de passer l’examen et à l’analyse

How well did you know this?

Not at all

Perfectly

Qu’est la première chose à récupérer sur un appareil?

Récupérer la Timezone pour pouvoir interpréter les horodatages par la suite

How well did you know this?

Not at all

Perfectly

Qu’est ce que l’acquisition de données?

c’est le fait d’accéder aux données et d’en faire une copie afin de pouvoir procéder à une future analyse

How well did you know this?

Not at all

Perfectly

Quelle phase est celle qui a le plus grandes chances de modifier les données?

L’acquisition des donnees

How well did you know this?

Not at all

Perfectly

Sur quoi travailler lors d’analyse?

L’acquisition des données- jamais procéder à l’analyse d’un support en travaillant sur le support original.
Tjrs travailler sur des copies forensiques

How well did you know this?

Not at all

Perfectly

Toute les infos présentes sur le disque peut être vue ou traduites sous forme de bits?

Nan

How well did you know this?

Not at all

Perfectly

Citer différent types d’acquisition

hardware (saisie de l’appareil) vs numérique (acquisition des données)
physique (numérique) vs logique

How well did you know this?

Not at all

Perfectly

Citer différent support de stockage

stockage de données volatiles (ram)
stockage de données non volatiles ( clé USB)

How well did you know this?

Not at all

Perfectly

Qu’est ce qu’une acquisition logique?
- qu’utilise t’on pour copiez les fichiers auxquels on a accès?
- quel problem?

la machine fonctionne et est connectée comme un utilisateur normal
utiliser l’explorateur Windows
les fichiers de l’administrateur et des autres utilisateurs vont manquer

How well did you know this?

Not at all

Perfectly

Qu’est-ce qu’une acquisition “système de fichiers”?
Qu’utilise t’on pour copier les fichier?
Quel avantage?

on dispose d’un accès administrateur
on utilise l’explorateur Windows
on est administrateur donc on a accès à tous les fichiers existants dans le système

How well did you know this?

Not at all

Perfectly

Qu’est ce que l’acquisition physique?
Qu’utilise t’on pour faire des copie?
Quel inconvénient?

on a l’accès administrateur
on utilise des outils dédiés pour fair une copie 1-sur-1 de l’e semble du dispositif
si le système est crypté, cela n’est pas utile car seuls les fichiers cryptés sont copiés

How well did you know this?

Not at all

Perfectly

Mettre l’ordre des 3 types d’acquisition avec du moins au plus de donnés acquise.

Logique > système de fichiers > physique

How well did you know this?

Not at all

Perfectly

How well did you know this?

Not at all

Perfectly

Plus la données va test longtemps disponible sur le support moins ce support est……

Volatile

How well did you know this?

Not at all

Perfectly

Citer des support non volatile

Disque dur
SSD
c’est USB
CD/DVD

How well did you know this?

Not at all

Perfectly

Que contient la mémoire vive/ la ram?

Les donnes en cours d’utilisation (volatile)

How well did you know this?

Not at all

Perfectly

Pk ne pas éteindre un ordi?

La ram ou mémoire vive peut contenir des mdp en clair, des processus en cours d’utilisation

How well did you know this?

Not at all

Perfectly

Citer des outils permettant de faire des captures de la Ram?

Windows : DumpIT, WINpmem, FTK Imager, Magnet Capture, Redline
Linux : LINpmem, LiME
macOS: OSXpmem, MacQuisition

How well did you know this?

Not at all

Perfectly

Quels sont les trois familles de support de stockage non volatile?

magnetiqur
Flash (NAND)
Optique

How well did you know this?

Not at all

Perfectly

Quels sont les deux types de copies forensiques?

clone (copie de toute les données du support original sur le support de destination)
image (copie de toute les données du support oroginal dans un ou plusieurs fichiers, svt appelé image disque ou image forensique )

How well did you know this?

Not at all

Perfectly

Que nécessite un clone comment types de copies forensique?

nécessite un support de destination de capacité égale ou supérieur
nécessite un support de destination stérile (réécriture avec 0X00

How well did you know this?

Not at all

Perfectly

Quels sont les formats principaux des images comme type de copies forensiques?

fichiers Raw (.raw, .001,.dd)
Expert Witness Format (.E01)
AFF4

How well did you know this?

Not at all

Perfectly

Que signifie RAW? SHEMA page 17

Une copie identique (1 sur 2) sans modifications, ni Checksum, ni compression

How well did you know this?

Not at all

Perfectly

Que trouve t’on dans le format de finchier d’une image E01?

header
données entrecoupée de CRCs entre chaque bloc de 64 secteurs suivi d’un footer contenant le hash MD5 de tout les données

How well did you know this?

Not at all

Perfectly

Que contient l’entête d’une image E01?

Date et heure d’acquisition, nom de l’expert, des notes sur l’acquisition et optionellement un mdp

Là-bas le format de fichier d’une image E01; l’entête se conclu avec son propre CRC?

Oui

Le fichier d’une image E01 est compressible et …..

Indexable

SHEMA fichier d’une image E01 page 18

Comment préserve l’intégrité?

Préservation : Grâce au bloqueur d’écriture Tracabilite : empreinte numérique des fichiers

Citer 3 bloqueur d’écriture

- logiciel (software) - matériel (hardware) - intégré à l’appareil duplicateur

À quel moment faisons nous appel à l’empreinte numérique des fichiers pour la tracabilite?

- au moment de la copie - verification - durant le processus forensique

Comment fonctionne le bloqueur d’écriture intégré au support?

- certain supports possèdent une protection contre l’écriture ou ne sont pas reinscriptible du tout (CD/DVD)

Citer des exemples de bloqueur d’écriture intégré au support?

- clapet de protection sur les disquettes - loquet sur les cartes memoire ou certaine clé USB - supports optique (CD-R, DVD-R)

Comment fonctionne les bloqueur d’écriture logiciel (softwares)

Les bloqueur d’écriture logiciels utilise une fonctionnalité du système pour monter les supports en lecture seule - logiciel (système) interceptant les appels du système d’exploitation pour écrire sur le support de stockage

Avec quoi le bloqueur d’écriture logiciel est inefficace ?

Inefficace avec des programmes qui utilisent l’accès direct au disque pour écrire des données

Que faire avant d’utiliser un bloqueur d’écriture logiciel?

Tjrs tester et vérifier le logiciel utilisé (procédure de validation)

Bloqueur écriture logiciel page 23 pour terminal

Citer les os forensique bootable (bloquer d’écriture logiciel)

- Linux : Paladin, Caine, Tsurugi - Windows Forensic Environment (WinFE) -macOS : MacQuisition

Comment fonctionne le bloqueur d’écriture matériel (hardware)?

- boîte faisant office de barrière physique entre le support de stockage et l’ordinateur auquel il est connecté

Qu’utiliser en préférence le bloqueur d’écriture matériel ? Que font il vérifier régulièrement ?

- utiliser de préférence le bloquer correspondant au type de connexion du support à Imager ( éviter de chaîner des adaptateurs différents) - vérifier régulièrement la fonctionnalité de blocage de l’équipement (validation)

À quoi faut il faire attention avec les bloqueur d’écriture matériel?

- parfois il s’agit d’une mini ordi utilisant un bloqué tue d’écriture logiciel au lieu d’un vrai bloquer matériel

Qu’est ce qu’un bloquer d’écriture matériel (duplicateur)?

Est un boîtier autonome (sans ordi) qui effectue des copies.

Quel avantage et inconvénient d’un bloquer d’écriture matériel (duplicateur)?

- capacité à cloner/ dupliquer plusieurs supports de stockage simultanément - svt plus rapide qu’un ordinateur - ne pas se tromper entre source et destination

Que permet la tracabilité?

La tracabilite permet d’identifier et de suivre des objets physique ou virtuels à travers une chaîne de processus - permet de retracer un chaîne d’evt ou de prédire les résultats d’un processus en fct de l’origine d’un objet

Quel est le but de la tracabilite ?

Assurer continuité de la preuve

La continuité de la preuve (tracabilité) est un processus qui permet de ……… le ………. des …………. de …… tout au long de leur ……… de …… (collecte, sauvegarde et analyse)

Suivre le mvt Supports de traces Cycle de vie

Quel est le mécanisme polit assure la continuité de la trace?

- empreinte numérique des supports/ fichier (hashing) - documenter les actions effectuées

Comment utiliser l’empreinte numérique pour assurer la continuité de la preuve?

- calcul du hash du support original pdt la copie - vérification du hash du support / fichier de destination - vérification des badges durant le processus

Comment documenter les actions effectuées?

- matériels et logiciels utilisés - fichier log / cahier de labo

Quelle est la fct de hash?

- produit une chaîne de longueur fixe (empreinte numérique) pour toute entrée de données

Cbm de bits et Cbm de caractère pour MD5 ?

128 bits / 4 =32 bits 32 caractère

Cbm de buts et caractère pour SHA1?

160 bits / 4 =40 caractères

Cbm de bits et caractère pour SHA256?

256 bits/4=64 caractère

Les fcts de hachage cryptographique présentent quelle propriétés de sécurités ? Quel caractéristique est la plus forte?

- résistance à la pré-image - résistance à la seconde pré-image - résistance à la collision (caractéristique la plus forte)

Comment fonctionne la résistance à la pré image?

À partir d’un Hash donné il doit être dificile de retrouver la source

Comment fonctionne la résistance à la seconde pre-image?

- à partir d’un hash donné, il doit être dificile de retrouver une source donnant le même hash

Comment fonction la résistance à la collision d’un hash?

- difficile de trouver 2 sources donnant le même hash

Dans une copie forensique à quoi sert le hashage?

- vérification de l’intégrité - tracabilite dans des fichiers - inclue dans des fichiers avancés (E01)

Dans un clone a quoi sert les fcts de hashage?

- tracabilité - retirer des fichiers connus de l’analyse - chercher des fichiers d’intérêt - continuité de la preuve - fréquemment utiliser dans PKI ( signatures numériques, chiffrement)