---
# System prepended metadata

title: TD investigation Numérique

---

# TD investigation Numérique  
### Questions 

**Un ordinateur a été victime d’une attaque informatique. Il est encore allumé et utilisable, mais un malware demande une rançon à l’utilisateur. Que dois-je faire ?**

Je le déconnecte du réseau afin d'éviter toutes propagation possible du malware. Puis, je copie les données de la RAM et du disque dur de l'ordinateur tant qu'il est allumé. Je pourrais enssuite effectuer une analyse forensique sur l'image obtenu.

**Je démarre mon investigation sur un nouvel incident : quelqu’un a branché une clé USB sur un ordinateur et un malware a infecté la machine. Quels sont mes objectifs ? Pourquoi devriez-vous noter toutes les connexions de câbles pour un ordinateur que vous souhaitez saisir comme preuve ?**

Noter toutes les connexions de câbles pour un ordinateur permet de savoir quelles connexions externes existaient et si une connexion malveillante ete presente sur le poste.

L'objectif est de comprendre ce qu'il s'est passé sur le poste afin de prévenir les attaques futures.

**Quelles sont les étapes de la méthodologie d’investigation ?**

- Qualification : Identification du contexte
- Préparation : Collecte des données
- Éxécution : Analyse des données
- Reporting : Restitution et l’élaboration du rapport

**Qu'est-ce qu'une analyse à chaud d'un système ?**

Une analyse à chaud est une analyse forensique réalisée sur un système en cours de fonctionnement.

**À quoi peut servir le hash d'un fichier ?**

Le hash d'un fichier permet de verifier son intégrité ainsi que d'obtenir une empreinte d’un fichier. Ainsi, en le comparant avec une base de référence, il est possible d'identifier si le fichier à subit ou non un changement.

**Quels sont les éléments importants pour un enquêteur en ce qui concerne la journalisation ?**

- Les méthodes de journalisation
- Conservation des journaux (régularité, temps de conservation)
- Emplacement des journaux stockés (en fonction des technologie et de l'infrastructure) 

Sur Windows ils peuvent nottament être retrouvé au emplacements suivants :

- Journal de sécurité : `Journal d’événements` > `Journaux Windows` > `Sécurité`
- Journal d'application : `Journal d’événements` > `Journaux Windows` > `Application`
- Journal système : `Journal d’événements` > `Journaux Windows` > `Système`
- Journal d’évènements transférés : `Journal d’événements` > `Journaux Windows` > `Journal d’évènements transférés`
- Journaux des applications et des services : `Journal d’événements` > `Journaux des applications et services`
   
**Quel est le nom de la commande Linux pouvant être utilisée pour effectuer une copie  légale ?**

Il faut utiliser les commandes suivantes : (Dans le cas de linux)

```bash
# Machine A
ip a # obtention de l'adresse ip de la machine
nc -lnvp 4444 > /tmp/disk.dd

# Machine B
df -a # Obtention du nom du disque de la machine
dd if=/dev/nvme0n1p2 | nc 192.168.74.253 4444
md5sum /dev/nvme0n1p2 # Obtention du md5

# Machine A
file /tmp/disk.dd   # Vérification du type de fichier
md5sum /tmp/disk.dd # Vérification du md5
```
   
**Où Linux stocke-t-il les journaux du serveur de messagerie ?**

Linux stock les logs du serveur de messagerie dans `/var/log/mail.*`
   
**Le digital forensic peut être défini comme ?**

Il peut etre defini le processus de découverte et d'interprétation des données électroniques. L'objectif de ce processus est de préserver toute preuve dans sa forme la plus intacte.

**Que contient le fichier Index.dat ?**

Les fichiers index.dat sont des fichiers dans lesquels Internet Explorer et d’autres logiciels de Microsoft enregistrent des informations et des pointeurs vers des informations obtenues au cours de l’exécution d’une requête

   
**Quels sont les supports correspondent à de la mémoire non volatile ?**

Les supports memoire non volatile sont : EEPROM, disque dur, cle usb, carte sd
   
**La commande Openfiles montre quoi ?**

Openfiles est une commande qui permet à un administrateur de déconnecter des fichiers et des dossiers qui ont été ouverts à distance via un dossier partagé.

**Que signifie « Données intéressantes » dans une investigation numérique ?**

Les "données intéressantes" ou "artefacts" en forensique correspondent à l'enssemble des éléments qui possèdent une valeur ajoutée à notre enquête. Il peut s'agir des éléments suivants :

- Dump mémoire d'une machine (ram)
- Log d'échange réseau (fichier .pcap)
- Log d'évenement windows
- Image disque (.img)
- ...
