La criminalistique numérique, de la gestion des preuves à leur admissibilité

La criminalistique numérique est la branche de la criminalistique qui consiste à identifier, collecter, examiner et analyser les données issues de systèmes numériques tout en préservant leur intégrité, afin de pouvoir établir et prouver ce qui s'est passé. Elle est également appelée « cybercriminalistique » ou « criminalistique informatique », et elle vient en complément de la cybersécurité plutôt que de la remplacer.

Les équipes de sécurité des entreprises ont besoin de cette capacité pour une raison pratique. Les obligations réglementaires en matière de notification dépendent de l'ampleur d'une violation, et cette ampleur est une question de preuves plutôt que d'alertes. Les preuves n'existent que si quelqu'un les a conservées avant leur suppression, ce qui fait de l'analyse judiciaire un problème d'architecture bien avant qu'elle ne devienne une enquête.

Ce guide aborde le processus d'investigation numérique, la nature des preuves numériques et les mesures qui les protègent, les différents domaines de cette discipline, les méthodes utilisées par les pirates pour s'attaquer aux données elles-mêmes, les normes et règles qui déterminent la validité des preuves, ainsi que les préparatifs indispensables à mettre en place au préalable.

Qu'est-ce que la criminalistique numérique ?

Cette discipline porte plusieurs noms. Le NIST l'appelle « criminalistique numérique » et précise qu'elle est « également connue sous le nom de criminalistique informatique et réseau », la décrivant comme « l'application de la science à l'identification, à la collecte, à l'examen et à l'analyse des données tout en préservant l'intégrité de l'information » (NIST SP 800-86, août 2006). La criminalistique informatique et la criminalistique numérique sont des termes quasi synonymes désignant la même pratique ; cette page les traite donc comme un seul et même sujet plutôt que comme trois thèmes distincts.

La notion de « preuve numérique » est elle aussi clairement définie. L'Institut national de la justice (NIJ) définit la preuve numérique comme « toute information stockée ou transmise sous forme binaire pouvant être utilisée comme élément de preuve devant un tribunal », et précise qu'elle « est désormais utilisée pour poursuivre tous les types de crimes, et pas seulement la cybercriminalité » (NIJ).

La criminalistique numérique, c'est la même chose que la cybersécurité ?

Non. La criminalistique numérique est une sous-discipline de la criminalistique appliquée aux systèmes numériques, tandis que la cybersécurité est le domaine plus large dont elle relève. La cybersécurité vise à prévenir, détecter et contrer les attaques. La criminalistique intervient après qu’un événement s’est produit et pose une question plus précise : que s’est-il passé, et la réponse peut-elle être prouvée ?

Il est plus facile de faire cette distinction si l'on distingue les trois questions auxquelles répondent ces disciplines voisines.

Légende : Ces trois disciplines se recoupent en termes d'outils et de personnel, mais elles répondent à des questions différentes et sont évaluées en fonction de résultats différents.

La gestion des incidents englobe le confinement, l'éradication et la restauration, tandis que l'analyse forensic alimente ce processus sans le dupliquer. Le flux de travail qui guide les conclusions tout au long du triage et de la gestion des dossiers relève de l'enquête sur les incidents, et le processus intégré qui relie la détection, l'enquête et la réponse relève de la détection, de l'enquête et de la réponse aux menaces.

Pourquoi la criminalistique numérique est-elle importante ?

En effet, les questions posées par une autorité de régulation, un assureur ou un tribunal relèvent davantage de la preuve que de l’aspect opérationnel. Quels fichiers ont été consultés, par qui et quand ? La copie présentée correspond-elle à l’original ? Quelqu’un est-il en mesure d’indiquer qui a manipulé ces fichiers ? Une organisation qui a parvenu à mettre fin à l’attaque mais qui ne peut répondre à ces questions a certes résolu le problème de sécurité, mais a laissé en suspens celui d’ordre juridique et réglementaire.

Comment fonctionne la procédure d'expertise judiciaire

La norme NIST SP 800-86 décrit ce processus en quatre phases fondamentales, et c'est sur ce modèle que s'appuient la plupart des programmes d'entreprise.

1. Collecte : identification, référencement, enregistrement et acquisition de données provenant de sources potentielles.
2. Analyse : traitement des données collectées selon des méthodes de police scientifique et extraction des données présentant un intérêt particulier.
3. Analyse : étude des résultats d'examens à l'aide de méthodes juridiquement fondées afin d'en tirer des informations utiles.
4. Rapports : présenter les résultats, décrire les mesures mises en œuvre et formuler des recommandations d'amélioration.

‍

‍

Il ne faut pas confondre ces quatre phases avec la définition de cette discipline donnée par le NIST, qui mentionne l'identification, la collecte, l'examen et l'analyse. La définition décrit l'objet de cette discipline. Les phases, quant à elles, décrivent le déroulement d'une enquête.

Cette publication se montre également d’une franchise inhabituelle quant à ses propres limites. Le NIST précise que ce guide « ne doit pas être utilisé comme un manuel pour mener une enquête de criminalistique numérique », et ajoute qu’il ne doit pas être interprété comme un avis juridique ni servir de base à des enquêtes sur des activités criminelles. Il s’agit d’un cadre permettant de développer des capacités, et non d’un manuel opérationnel destiné à la gestion d’une affaire.

La gestion de ces phases relève de la police britannique. Le Guide des bonnes pratiques de l’ACPO en matière de preuves numériques énonce quatre principes, dont le premier est fondamental : « Aucune mesure prise par les forces de l’ordre, les personnes employées au sein de ces services ou leurs agents ne doit modifier des données susceptibles d’être invoquées ultérieurement devant un tribunal. » Ce même document comporte deux dates : la couverture indique mars 2012 et les en-têtes indiquent « Version 5 (octobre 2011) » ; il convient donc de citer les deux.

Deux techniques interviennent au cours des phases intermédiaires. Le « file carving » permet de récupérer des fichiers à partir d'un support de stockage brut grâce à leurs signatures de contenu, lorsque les métadonnées du système de fichiers ont disparu ou ne sont plus fiables. L'analyse chronologique organise les éléments provenant de plusieurs sources en une seule séquence d'événements ; c'est généralement à ce stade que des constatations isolées permettent de reconstituer le déroulement d'une intrusion.

La documentation n'est pas une étape. Elle s'étend sur les quatre phases, car le compte rendu des opérations effectuées sur les éléments de preuve constitue en soi une preuve. Le triage, la gestion des dossiers et le processus de rapport, qui prennent le relais à la fin du processus médico-légal, relèvent de l'enquête sur les incidents.

Les preuves numériques et ce qui les protège

Ce qui rend une preuve numérique exploitable, ce n'est pas l'outil qui a permis de la recueillir, mais le compte rendu de la manière dont elle a été traitée.

Les preuves disparaissent à des rythmes différents, et les collecter dans le mauvais ordre revient à détruire en premier lieu celles qui disparaissent le plus rapidement. La RFC 3227, publiée sous le nom de BCP 55 en février 2002 et qui fait toujours office de référence, l’énonce clairement : « Lors de la collecte de preuves, vous devez procéder des éléments les plus volatils aux moins volatils. » Son exemple d’ordre à sept niveaux a été rédigé pour un hôte unique de l’époque de 2002 ; il est donc judicieux de mettre en correspondance chaque niveau avec l’emplacement où ces données se trouvent dans une entreprise moderne.

Niveau RFC 3227 (2002) Équivalent dans les entreprises modernes : registres, cache, état du processeur et de l’hyperviseur (données rarement collectables à grande échelle) ; table de routage, cache ARP, table des processus, statistiques du noyau, mémoire. Mémoire de l’hôte en direct, état des processus des conteneurs, tables des périphériques réseau. Systèmes de fichiers temporaires. Systèmes de fichiers éphémères des conteneurs, espace de travail pour l’exécution sans serveur. Disque. Volumes des terminaux et des serveurs, stockage en blocs d’ cloud s attachés. Données de journalisation et de surveillance à distance. Journaux des fournisseurs d’identité, journaux d’audit d’ cloud , télémétrie centralisée d’ endpoint . Configuration physique, topologie réseau. Inventaire des ressources cloud, configuration des périphériques réseau, état de l’infrastructure en tant que code. Supports d’archivage. Sauvegardes, stockage objet, niveaux d’archivage des journaux.

Légende : L'ordre de volatilité défini dans la RFC 3227, réécrit pour les environnements sur lesquels les équipes d'entreprise mènent réellement leurs analyses, les plus volatils figurant en tête de liste. La colonne de gauche est tirée de la section 2.1 de la RFC 3227 ; la colonne de droite présente la correspondance établie par cette page.

C'est lors de l'acquisition que l'intégrité se gagne ou se perd. L'imagerie judiciaire permet de réaliser une copie vérifiée, au niveau des bits, des supports de stockage ; ainsi, l'original n'est jamais modifié et c'est la copie qui est examinée. Le hachage fournit la preuve : un hachage calculé lors de l'acquisition puis recalculé ultérieurement démontre que la copie de travail correspond toujours à la source. L'intégrité des preuves réside dans cette propriété, et c'est ce qui fait d'un fichier un élément sur lequel un tiers peut se fier.

Qu'est-ce qu'un dispositif de blocage d'écriture ?

Un dispositif de blocage d'écriture est un dispositif matériel ou logiciel intercalé entre le système d'un enquêteur et un support de preuve, qui autorise les opérations de lecture mais bloque toute opération d'écriture. Il a pour but d'empêcher que l'examen d'un disque dur n'altère ce dernier, conformément au premier principe énoncé dans le Guide des bonnes pratiques de l'ACPO.

La chaîne de conservation est le registre documenté indiquant qui a manipulé un élément de preuve, à quel moment et ce qu’il en a fait. Cela peut sembler être une simple formalité administrative, mais c’est ce qui permet de trancher les affaires. L’exemple récent le plus parlant provient d’une source institutionnelle de l’UE, et sa structure mérite d’être reprise. Les orientations informelles de la Commission concernant les dispositions de secours pour le système de preuve électronique – dont les services de la Commission précisent qu’elles ne reflètent pas la position officielle de celle-ci – définissent une exigence fonctionnelle tirée de l’article 19, paragraphe 5, du règlement : lorsque le système de transmission propre à l’UE ne peut être utilisé, le canal de secours doit être « rapide, sécurisé et fiable » et doit permettre « au destinataire d’en établir l’authenticité ». Elle précise ensuite, canal par canal, comment cette exigence peut être satisfaite. Pour un transfert électronique sécurisé, l’intégrité peut être confirmée « par exemple en exigeant du prestataire de services qu’il communique, ou mette à disposition d’une autre manière, un résumé de hachage de la preuve électronique aux fins de vérification de l’intégrité ». En cas de remise physique, ces moyens « peuvent permettre au destinataire de vérifier l’authenticité lorsqu’ils fournissent une chaîne de contrôle documentée et des preuves fiables de l’expédition et de la réception » (Orientations informelles de la Commission sur les dispositions de secours, dernière mise à jour le 11 juillet 2026).

Les recommandations relatives à la collecte destinées aux professionnels sont mises à jour régulièrement plutôt que figées. Le document 18-F-002-2.0 du SWGDE, intitulé « Meilleures pratiques pour la collecte de preuves numériques », porte la date de publication du 20 novembre 2025. Deux catégories d’éléments qui apparaissent régulièrement lors de la collecte, à savoir les indicateurs de compromission et les métadonnées réseau, font l’objet d’une section spécifique.

Les domaines de la criminalistique numérique

La branche à utiliser dépend de l'emplacement des preuves, et non de ce qu'a fait le pirate.

Légende : Les dix branches de la criminalistique numérique, classées en fonction de la source des éléments de preuve qui caractérise chacune d'entre elles.

Cloud C'est le domaine dans lequel la référence à ce document revêt la plus grande importance. La publication en vigueur du NIST est la norme SP 800-201, intitulée « Architecture de référence en criminalistique informatique du NIST ( Cloud ) », finalisée en juillet 2024, dont l’objectif déclaré est « d’apporter un soutien à la préparation d’un système de gestion des incidents ( cloud ) en matière de criminalistique ». Son prédécesseur, la norme NIST IR 8006 consacrée aux défis de la criminalistique informatique dans le cadre de la gestion des incidents ( cloud ), date d’août 2020. Privilégiez la version la plus récente. La détection dans cet environnement constitue une discipline distincte, traitée dans le cadre de la détection et de la réponse aux menaces de type «cloud ».

Le domaine des appareils mobiles fait l'objet de recommandations spécifiques du NIST dans le document SP 800-101, rév. 1, intitulé « Guidelines on Mobile Device Forensics » (Recommandations relatives à la criminalistique des appareils mobiles), publié en mai 2014 et remplaçant la version originale de 2007. La version révisée est à jour, contrairement à la version originale, et les deux sont souvent confondues.

La liste ne cesse de s'allonger. INTERPOL anime des groupes d'experts permanents consacrés à la criminalistique des drones, à la criminalistique automobile et des véhicules, ainsi qu'à la criminalistique numérique des équipements embarqués sur les navires, ce qui nous rappelle à juste titre que tout appareil doté d'une mémoire peut, à terme, constituer une source de preuves.

Analyse forensique des réseaux et analyse des fichiers PCAP

L'analyse forensique des réseaux permet de reconstituer une intrusion à partir des données qui ont transité par le réseau. L'analyse des paquets capturés, généralement appelée « analyse pcap », en est la technique principale : elle consiste à examiner le trafic capturé afin de déterminer quels hôtes ont communiqué entre eux, via quels protocoles et quelles données ont été échangées. Les enregistrements de flux et l'état des équipements réseau permettent de combler les lacunes lorsque la capture complète n'est pas réalisable.

Cette approche présente un avantage structurel par rapport aux branches basées sur l'hôte, car les données relatives au réseau sont générées et stockées en dehors de l'endpoint , ce qui leur permet de survivre aux actions menées sur l'endpoint. Elle présente toutefois un inconvénient structurel : il n'est pas possible d'effectuer une capture rétroactive ; la décision de couverture doit donc avoir été prise avant l'incident.

Définissez clairement le périmètre d'intervention. Cette page traite des preuves issues du réseau, c'est-à-dire ce qui est conservé et ce que cela permet de prouver. L'utilisation des données réseau pour détecter les attaques en premier lieu relève d'une autre tâche, abordée dans le cadre de l'analyse du trafic réseau et détection et réponse aux incidents.

Malware criminalistique

Malware La criminalistique informatique, dans le contexte de l'entreprise, consiste à récupérer des preuves suite à un incident impliquant un code malveillant : ce qui a été déposé, ce qui a été exécuté, ce que cela a affecté et quelles traces persistantes cela a laissées. Il s'agit là d'une question plus restreinte que la classification ou l'analyse réversive de l'échantillon, et l'aspect taxonomique relève de la malware page.

Techniques anti-criminalistique et altération des preuves

L'anti-criminalistique désigne les techniques visant à détruire, altérer, dissimuler ou fabriquer de toutes pièces les éléments de preuve. La seule approche pertinente consiste ici à considérer ce phénomène comme un problème de détection et d'atténuation ; ce qui suit décrit donc l'impact de ces techniques sur les éléments de preuve et les traces qui subsistent après leur application.

Le changement récent le plus important est d'ordre structurel, et il apparaît dans le MITRE ATT&CK catalogue. La surface anti-criminalistique englobe désormais deux tactiques qui n’en formaient auparavant qu’une seule. La tactique TA0005, intitulée « Furtivité », couvre les comportements de dissimulation qui laissent les systèmes de défense intacts. Une tactique distincte, TA0112 « Affaiblissement des défenses », a été créée le 14 avril 2026 et modifiée pour la dernière fois le 12 mai 2026 ; elle couvre les techniques qui « dégradent, désactivent ou compromettent l’efficacité et la fiabilité des contrôles de sécurité et des mécanismes de surveillance ». Elle regroupe 18 techniques.

Légende : Emplacement des principales techniques anti-analytiques dans ATT&CK v19.2. Les emplacements actuels correspondent à ceux publiés par MITRE. La colonne « Anciennement » reflète l'historique tel qu'il a été consigné dans les travaux de recherche, et non celui que MITRE indique sur les pages consacrées aux techniques.

Attribuez cette modification à la version appropriée. La restructuration des tactiques a été intégrée à la version ATT&CK v19.0, publiée le 28 avril 2026. La version actuelle, la v19.2 d’août 2026, est la première version « Agile » d’ATT&CK, un modèle à portée plus restreinte qui publie des mises à jour ciblées concernant les groupes, les logiciels et les campagnes en dehors du rythme semestriel standard ; elle a porté sur les groupes et les logiciels plutôt que sur la structure des tactiques. Le numéro de version a évolué sans que la taxonomie ne soit mise à jour.

En pratique, cela signifie que la suppression des journaux et la manipulation des outils de sécurité sont désormais répertoriées séparément de la suppression des indicateurs ; par conséquent, la couverture de détection, comparée à l'ancienne vision axée sur une seule tactique, apparaîtra plus complète qu'elle ne l'est en réalité.

Les techniques anti- endpoint s se sont également industrialisées. Une catégorie reconnue d’outils exploite désormais les pilotes signés vulnérables pour désactiver les agents de détection et d’intervention s avant l’accès aux identifiants, les mouvements latéraux et les actions à fort impact telles que le déploiement de rançongiciels. Ce que cela implique en matière de preuves est plus important que la technique elle-même : si la source des preuves s’exécute sur l’hôte contrôlé par l’attaquant, elle ne constitue pas une source fiable.

Cloud Le caractère éphémère constitue l’autre limite structurelle. Les conteneurs et les fonctions « serverless » sont systématiquement arrêtés et libérés avant que quiconque n’ait le temps de les conserver ; les données n’ont donc jamais été détruites par un pirate. Elles ont simplement expiré.

Normes, admissibilité et actualité

L'authenticité et la fiabilité sont deux notions distinctes, comme l'ont affirmé deux systèmes juridiques à quelques semaines d'intervalle en 2026.

Recevabilité

Dans la pratique fédérale américaine, les règles 902(13) et 902(14) des Règles fédérales de preuve, toutes deux entrées en vigueur le 1er décembre 2017, permettent que certaines données électroniques soient authentifiées par le certificat d’une personne qualifiée, en lieu et place d’un témoignage oral. La règle 902(14) est celle que les équipes d’entreprise doivent connaître : elle couvre « les données copiées à partir d’un appareil électronique, d’un support de stockage ou d’un fichier, si elles sont authentifiées par un processus d’identification numérique », ce qui signifie en pratique une correspondance de hachage. Aucune de ces deux sous-sections n’est concernée par le cycle de modification ouvert à la consultation publique du 14 août 2026 au 15 février 2027, qui porte sur les règles de preuve 104 et 902(1).

L’auto-authentification n’équivaut pas à être cru. Dans la note du comité accompagnant son projet révisé de règle 707, le Comité consultatif sur les règles de preuve a écrit que si le résultat produit par l’IA équivaut à un témoignage d’expert, l’auto-authentification au titre de la règle 902(13) n’est pas suffisante, car « cette règle couvre l’authenticité, mais ne garantit pas la fiabilité selon le critère de la prépondérance de la preuve applicable au témoignage d’expert » (Rapport du Comité consultatif sur les règles de preuve, 17 mai 2026). Il s’agit là de l’énoncé fondamental le plus clair qui soit concernant la distinction entre prouver qu’un document est bien ce que l’on prétend qu’il est et prouver qu’on peut s’y fier.

La règle 707 a été proposée mais n’a pas été adoptée ; elle est toujours à l’étude au sein de la commission en août 2026. Lors de sa réunion du 7 mai 2026, le Comité consultatif a refusé de recommander une décision, a révisé le projet, l’a renommé « Éléments de preuve générés par l’intelligence artificielle et présentés au procès sans l’intervention d’un expert » après que les commentateurs eurent jugé l’expression « générés par une machine » trop large, et l’a renvoyé, avec la question des deepfakes, pour une étude plus approfondie.

En matière civile, la règle 37(e) des Règles fédérales de procédure civile prévoit des recours lorsque des informations stockées sous forme électronique qui auraient dû être conservées sont perdues parce qu’une partie n’a pas pris les mesures raisonnables pour les préserver. C’est ce qui fait de la préparation en matière d’expertise judiciaire une obligation légale.

Preuves transfrontalières

Le règlement (UE) 2023/1543 relatif aux ordonnances européennes de production et de conservation s'applique à compter du 18 août 2026, et la directive (UE) 2023/1544 qui l'accompagne s'applique à compter du 18 février 2026. En vertu de ce règlement, les prestataires de services «sont tenus de désigner un établissement ou de nommer un représentant légal dans l’Union» et doivent répondre «dans un délai de 10 jours, et de 8 heures en cas d’urgence», alors que la Commission indique, à titre de comparaison, que le délai peut aller jusqu’à 120 jours pour une ordonnance d’enquête européenne et s’élève en moyenne à 10 mois pour une procédure d’entraide judiciaire (Commission européenne). Les sanctions peuvent atteindre 2 % du chiffre d’affaires annuel mondial total d’un prestataire (règlement (UE) 2023/1543, texte du Journal officiel).

La Commission elle-même a publié au préalable un plan de secours. Anticipant que le système informatique décentralisé ne serait pas opérationnel de manière uniforme, les services de la Commission ont publié des orientations informelles concernant la procédure d’urgence prévue à l’article 19, paragraphe 5, mises à jour pour la dernière fois le 11 juillet 2026 et s’ouvrant sur la remarque que le règlement « s’appliquera à compter du 18 août 2026 ». Toute utilisation de ces orientations doit s’accompagner d’une clause de non-responsabilité : les orientations « ont été élaborées par les services de la Commission », « ne représentent pas la position officielle de la Commission européenne et n’engagent en aucune manière la Commission », et seule la Cour de justice de l’Union européenne est habilitée à interpréter le droit de l’Union européenne de manière faisant autorité. Les spécifications techniques du système figurent dans le règlement d’exécution (UE) 2025/1550 de la Commission, et les lignes directrices renvoient à la section 3.3 de cet acte.

La pratique britannique ajoute un troisième volet : la version 2 du Code de bonnes pratiques de l'Autorité de régulation des sciences médico-légales, présentée dans le rapport annuel de l'Autorité pour la période 2024-2025, a supprimé l'obligation d'accréditation pour l'examen des incidents et a prévu son rétablissement.

Normes et monnaie ayant cours légal, vérifiées le 25 août 2026

Légende : Normes et instruments juridiques sur lesquels s'appuie cette page, avec le statut de chacun d'entre eux au moment de la vérification, le 25 août 2026.

L'affirmation selon laquelle ces normes seraient toutes obsolètes ne résiste pas à l'examen du catalogue du SWGDE. Certains documents sont anciens parce qu'ils étaient justes dès leur publication, et la RFC 3227 en fait partie.

Légende : Quatre sources qu'il convient de réexaminer sur ce sujet, et la manière spécifique dont chacune d'entre elles induit en erreur un lecteur peu attentif.

Préparation à l'expertise judiciaire vs intervention d'expertise judiciaire

La préparation en matière de criminalistique numérique désigne le travail d'architecture préalable à l'incident qui rend une enquête possible : paramètres de conservation, inventaire des sources de preuves et décisions concernant les éléments à préserver avant leur suppression. L'intervention correspond à ce qui se passe par la suite. La norme NIST SP 800-86 soutient ce cadre d'application aux entreprises, en précisant que « pratiquement toutes les organisations doivent disposer de la capacité de mener des enquêtes de criminalistique numérique ».

Légende : La préparation et l'intervention sont deux activités distinctes, relevant de responsabilités différentes, et seule l'une d'entre elles peut échouer sans que cela ne se remarque.

Le calcul de la rétention

La préparation devient ici une question de calcul. Les données d’enquête de première ligne pour 2025 situent la durée de présence médiane mondiale à 14 jours, contre 11 auparavant, et la médiane pour les incidents liés au cyberespionnage et aux informaticiens nord-coréens à 122 jours (M-Trends 2026, 23 mars 2026, sur la base de plus de 500 000 heures d’enquêtes). Ce sont les cas extrêmes qui compromettent les enquêtes : « avec des menaces telles que BRICKSTORM atteignant des durées de présence de près de 400 jours, les politiques standard de conservation des journaux pendant 90 jours laissent les organisations totalement dans l’ignorance quant au vecteur d’accès initial et à l’étendue réelle de l’intrusion. »

Comparons cela à une valeur par défaut courante. La durée de conservation des journaux d’audit dans une suite bureautique d’entreprise largement déployée est fixée par défaut à 180 jours, contre 90 jours auparavant, depuis le 17 octobre 2023 (documentation des solutions d’audit). Une durée de rétention de 122 jours se situe en dehors de la fenêtre de 90 jours mais à l’intérieur de celle de 180 jours ; face à une intrusion de 400 jours, les deux options s’avèrent insuffisantes. Plus précisément encore, les enregistrements d’audit provenant d’entités non-utilisateurs, telles que les actions des entités de service et les événements système, « sont conservés pendant une période fixe d’un an », et cette « période de conservation n’est pas configurable » par une politique personnalisée. La conservation sur dix ans nécessite une licence complémentaire par utilisateur et n’est pas rétroactive ; elle ne peut donc pas permettre de mener une enquête sur un événement qui s’est déjà produit.

Sur l'ensemble des enquêtes menées en 2025, les organisations ont détecté pour la première fois une activité malveillante en interne dans 52 % des cas, contre 43 % en 2024 ; le fait de détecter soi-même les intrusions réduit la durée pendant laquelle les preuves doivent être conservées. La détection et la conservation constituent les deux facettes d'un même problème.

Ce que préconisent les recommandations des six gouvernements

La norme la plus pertinente dans ce domaine n'est pas une norme relative à la criminalistique numérique. En février 2025, le NCSC, en collaboration avec l'Australian Signals Directorate, la CISA, le Centre canadien de cybersécurité, le FBI et le NCSC-NZ, a publié des lignes directrices sur la criminalistique numérique et la surveillance préventive des périphériques et équipements réseau, définissant « les exigences minimales en matière de visibilité à des fins de criminalistique numérique, afin d'aider les responsables de la sécurité des réseaux à protéger les réseaux des organisations tant avant qu'après une intrusion ».

Sa liste de collecte de données volatiles correspond en fait à une réécriture de la norme RFC 3227 adaptée aux équipements réseau de 2025 ; elle couvre les arborescences de processus, les cartes mémoire, les modules chargés, la mémoire du noyau et celle de chaque processus, les règles de pare-feu et de traitement des paquets, les connexions réseau, les entrées ARP, les tables CAM, les baux DHCP, les sessions actives, les vidages mémoire en cas de plantage et les journaux système.

Un article de blog publié le 29 juillet 2026 a développé cet argument sous une nouvelle appellation, et ce changement a son importance lorsque l’on recherche l’un ou l’autre de ces documents : les recommandations de 2025 parlent de « visibilité forensic », tandis que l’article de blog de 2026 évoque l’« observabilité forensic ». Le blog précise que « l’observabilité forensic est particulièrement importante pour les périphériques de périphérie tels que les pare-feu, les passerelles VPN et autres équipements réseau », et décrit comment les défenseurs, face à un équipement compromis, doivent recourir à la rétro-ingénierie, en résumant sans détour que « ils peuvent disposer de moins d’outils que l’attaquant ».

Une liste de contrôle pour vérifier que tout est prêt

• Faites l'inventaire de toutes les sources de preuves avant d'en avoir besoin.
• Enregistrez la période de conservation pour chaque source.
• Vérifiez quelles plages de conservation vous ne pouvez pas configurer.
• Conservez délibérément les journaux du fournisseur d'identité et du service d'assistance.
• Veillez à ce que les données relatives au réseau ne soient pas stockées sur les terminaux qu’elles concernent.
• Vérifier qu'une exportation est bien récupérable.
• Vérifiez à nouveau les paramètres par défaut après chaque migration de plateforme.

Un scénario particulier permet de cerner précisément le problème lié à l'identité. Lorsque l'accès initial correspond à une réinitialisation légitime des identifiants effectuée par l'intermédiaire d'un service d'assistance, les artefacts de l'hôte ne révèlent aucune anomalie, car aucun événement anormal ne s'est produit sur l'hôte. L'historique de cet événement se trouve exclusivement dans les journaux du fournisseur d'identité et du service d'assistance, qui sont justement les journaux les moins susceptibles d'être conservés suffisamment longtemps.

Ce qui rend un journal utile d’un point de vue criminalistique est plus restreint que ce qui le rend utile d’un point de vue opérationnel : un horodatage fiable, un acteur identifiable, une action interprétable et une durée de conservation supérieure à la durée de présence prévue. Les sources existantes et les données qu’elles émettent relèvent de la télémétrie de sécurité et des métadonnées réseau, tandis que leur agrégation relève du SIEM et détection et réponse aux incidents. Deux types d’enquêtes s’appuient le plus fortement sur ces bases : les menaces internes, où l’activité est autorisée mais pas l’intention, et l’évaluation de l’étendue des fuites de données, où le délai de notification dépend des preuves que vous avez conservées ou non.

Approches modernes de la criminalistique numérique

Les questions relatives aux outils posées ici portent généralement sur le choix du « meilleur outil » ; il est préférable d'y répondre par catégorie, car c'est la catégorie qui détermine le type d'informations que vous obtiendrez, et l'état d'entretien qui détermine si vous pouvez vous y fier.

Légende : Outils de criminalistique classés par catégorie, avec une indication relative à leur état d'entretien permettant de déterminer si un outil donné est fiable.

Deux types de défaillance sont regroupés alors qu'ils ne devraient pas l'être. Le premier concerne les logiciels inactifs présentés comme étant à jour. L'analyse mémoire en est l'exemple le plus flagrant : la Volatility Foundation a annoncé le 16 mai 2025 qu'avec la sortie officielle de Volatility 3, Volatility 2 était obsolète et que son dépôt avait été archivé ; le dépôt lui-même porte d'ailleurs la date de cette archivage. Pourtant, ce logiciel figure toujours sur les listes d'outils datées de l'année en cours.

Le second est maintenu mais vulnérable, ce qui, selon la vérification de la date de la dernière version, est considéré comme « sain ». Une campagne d’intrusion documentée a consisté à installer une version obsolète d’une plateforme open source de collecte et d’orchestration DFIR sur des hôtes compromis, puis à l’utiliser pour récupérer d’autres outils, réduisant ainsi la nécessité de déployer des « malware » personnalisés (couverture médiatique de la campagne, 11 octobre 2025). Le projet fait l’objet d’une maintenance active et une version corrigée existe. L’attaquant a simplement choisi une version non corrigée, tirant parti d’une faille d’autorisation de gravité moyenne à laquelle le CNA a attribué un score de base de 5,5 (NVD, CVE-2025-6264, dernière modification de l’enregistrement le 17 juin 2026). Trier une liste d’outils par année de dernière publication permettrait de passer complètement à côté de cela.

Le point de vue d'Vectra AI sur la criminalistique numérique

Vectra AICette position découle du fil conducteur de cette page : si la source de preuves s'exécute sur l'hôte contrôlé par l'attaquant, elle n'est pas fiable. L'analyse « Attack Signal Intelligence » repose sur l'observation continue des comportements au niveau du réseau, des identités et de l'cloud, centralisée et indépendante des terminaux qu'elle décrit, ce qui permet une reconstruction a posteriori et non plus uniquement pendant l'événement. La seconde partie est tout aussi importante que la première. Les conclusions doivent pouvoir être défendues auprès de personnes qui n’étaient pas présentes sur place ; le rapport est donc structuré à l’intention des dirigeants, des auditeurs et des opérateurs, ainsi que de l’analyste qui l’a rédigé.

‍