Analyse forensique : investigation numérique après un incident
Établir ce qui s’est passé, avec des éléments qui tiennent face à un tiers.
Réponse courte
Analyse forensique : de quoi s’agit-il, pour qui, à quel prix ?
Investigation numérique approfondie après un incident, une fraude ou un départ conflictuel : acquisition des preuves avec chaîne de conservation, analyse des disques, de la mémoire et des journaux, chronologie datée. Durée indicative : de quelques jours à 3 semaines selon le nombre de systèmes. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
La réponse à incident cherche à arrêter l’attaque et à remettre en marche. L’analyse forensique répond à d’autres questions : que s’est-il exactement produit, depuis quand, avec quels comptes, quelles données ont été consultées ou emportées, et peut-on le démontrer à quelqu’un qui n’a aucune raison de nous croire sur parole ? Elle convient quand la crise est derrière vous : compromission découverte des mois après les faits, fraude interne, litige avec un salarié ou un prestataire, demande d’un assureur ou d’une autorité.
Tout part de l’acquisition : copies bit à bit des disques, capture de la mémoire quand elle est encore possible, export des journaux, avec empreintes cryptographiques et fiche de chaîne de conservation. On travaille ensuite sur les copies, jamais sur les originaux. L’analyse croise les artefacts des systèmes (exécution de programmes, connexions, accès aux fichiers, périphériques USB), les journaux d’authentification et réseau, et la messagerie quand elle entre dans le périmètre.
Le rapport sépare ce qui est établi, ce qui est probable et ce qui reste inconnu, avec les éléments de preuve en annexe. Avant toute analyse touchant des salariés, nous posons le cadre juridique avec votre juriste ou votre avocat : charte informatique : définition, information des personnes, proportionnalité. La désignation d’un expert judiciaire relève du tribunal ou des parties ; notre dossier est conçu pour pouvoir être repris par lui.
En résumé
- Durée indicative
- de quelques jours à 3 semaines selon le nombre de systèmes
- Prix
- sur devissur devis après cadrage, selon le nombre de systèmes à analyser et la profondeur demandée
- Référentiels appliqués
- NIST SP 800-86ISO/IEC 27037RFC 3227NIST SP 800-61 rév. 3MITRE ATT&CK
Mission conduite avec l’accord écrit du propriétaire des systèmes examinés, sous accord de confidentialité.
Réponse à toute demande sous 24 h ouvrées.
Analyse forensique : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Cadrage et cadre juridique
Questions posées à l’enquête, périmètre, personnes autorisées à connaître les résultats, base légale de l’analyse.
Acquisition et chaîne de conservation
Copies de disques, capture de mémoire, export de journaux, empreintes, fiche de conservation signée à chaque transfert.
Analyse des systèmes
Artefacts des postes et serveurs : programmes exécutés, comptes utilisés, fichiers ouverts, supports amovibles, traces de suppression.
Journaux et messagerie
Authentifications, accès réseau, accès cloud, règles de boîte aux lettres, éléments de messagerie lorsque le cadre l’autorise.
Chronologie et techniques
Reconstitution datée des événements, techniques employées rapprochées de MITRE ATT&CK, données consultées ou emportées.
Rapport d’investigation et restitution
Constats établis, probables et inconnus distingués, annexes de preuves, présentation à la direction et à votre conseil.
Analyse forensique : que livre la mission ?
- Fiche de cadrage et cadre juridique de l’investigation
- Journal d’acquisition avec empreintes et chaîne de conservation
- Chronologie détaillée des événements
- Liste des comptes, systèmes et données concernés
- Rapport technique avec annexes de preuves
- Synthèse pour la direction et pour votre conseil
Qu’est-ce que cela change pour vous ?
- Une réponse datée et argumentée à la question « que s’est-il passé »
- Un périmètre de données concernées utilisable pour une notification ou un échange avec l’assureur
- Un dossier technique qu’un avocat ou un expert peut reprendre sans refaire l’acquisition
Analyse forensique : pour qui est-ce utile ?
- Organisations qui découvrent une compromission ancienne et veulent en mesurer la portée
- Directions confrontées à une suspicion de fraude ou de fuite interne
- Entreprises qui doivent répondre à un assureur, une autorité ou un client avec un dossier technique
- Équipes sorties d’une crise, qui veulent comprendre le point d’entrée avant de rouvrir
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Analyse forensique : combien de temps dure la mission ?
Durée indicative : de quelques jours à 3 semaines selon le nombre de systèmes. Les 5 étapes de cette mission, dans l’ordre.
- 01
Qualification et urgence
Établir ce qui est observé, depuis quand, sur quels systèmes, et décider de ce qui ne peut pas attendre.
- 02
Accord et préservation des données
Accord écrit sur les systèmes examinés, copie des journaux et des supports avant toute manipulation, conservation tracée.
- 03
Collecte et analyse
Reconstituer la chronologie des actions à partir des journaux, des postes et du réseau.
- 04
Périmètre et impact
Délimiter ce qui a été touché, ce qui a pu être vu ou sorti, et par quel chemin.
- 05
Rapport et recommandations
Remettre la chronologie, les constats et les actions de remise en état, dans l’ordre où les mener.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un appel suffit : ce que vous observez, depuis quand, et sur quels systèmes.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Analyse forensique : ce qu’on nous demande
Quelle différence avec une réponse à incident ?
La réponse à incident intervient pendant la crise : elle contient l’attaque, éradique et remet en service. L’analyse forensique est une enquête, qui privilégie l’établissement des faits et la qualité de la preuve, souvent après coup. Les deux peuvent se suivre : une intervention d’urgence peut se conclure par une investigation approfondie sur les systèmes qui ont été conservés.
Peut-on analyser un poste plusieurs semaines après les faits ?
Souvent oui : beaucoup d’artefacts persistent sur un disque pendant des semaines ou des mois. Mais plus on attend, plus les journaux sont écrasés et plus la mémoire est perdue. Si vous soupçonnez quelque chose, débranchez la machine du réseau sans l’éteindre quand c’est possible, ne la réinstallez pas et ne la réaffectez pas à quelqu’un d’autre avant l’acquisition.
Vos conclusions seront-elles retenues par un tribunal ?
Nous ne pouvons pas vous promettre ce qu’un juge en retiendra. La recevabilité dépend de la procédure et de la façon dont la preuve a été obtenue, notamment quand elle touche des salariés, et votre avocat en juge. Ce que nous maîtrisons, c’est la rigueur technique : acquisition documentée, travail sur copie, résultats reproductibles par un tiers.
Pour comprendre avant de décider
- ArticleSauvegarde et rançongiciel : la règle 3-2-1 suffit-elle ?La règle 3-2-1 reste une base, mais les rançongiciels visent les sauvegardes. Copie immuable, comptes séparés et test de restauration : ce qu’il faut en plus.
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
Quelles prestations s’y associent ?
Réponse à incident
Comprendre, contenir, puis remettre en service, dans cet ordre.
intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contratdès 1 190 €
Exercice de crise cyber
Découvrir les failles de sa gestion de crise un après-midi d’exercice plutôt qu’un dimanche d’attaque.
préparation de 2 à 3 semaines, exercice de 3 à 4 heuressur devis
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
mise en place de 2 à 6 semaines, puis supervision continuedès 290 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Analyse forensique » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début