Reconstruire l'incident : forensic disque, timeline et carving

Le scénario

Le 18 juin 2026, une alerte interne signale qu'un rapport confidentiel, nom de code ORION, aurait quitté l'entreprise. Un poste est saisi et imagé sur place. Le collaborateur aurait préparé une archive, connecté un support USB, puis tenté d'effacer ses traces en supprimant des fichiers et en vidant son historique shell.

Vous recevez un seul artefact : une image disque brute. Tout ce que vous affirmez doit en découler, et vous devez être aussi rigoureux sur ce qu'elle ne prouve pas.

Préparer un poste d'analyse propre

Le forensic commence avant la première commande. N'ouvrez jamais l'original en écriture, et consignez chaque action pour que votre travail soit reproductible par un tiers. Utilisez une VM jetable, Ubuntu ou une distribution forensic, sans accès réseau.

sudo apt update
sudo apt install sleuthkit foremost libimage-exiftool-perl
mkdir -p ~/synapse-lab/{evidence,work,output}
unzip synapse-lab-01.zip -d ~/synapse-lab/evidence
chmod 444 ~/synapse-lab/evidence/synapse-lab-01.raw   # lecture seule : on protege l'original
cd ~/synapse-lab/work

Analyser l'image, étape par étape

The Sleuth Kit fournit tout ce qu'il faut sur une image brute : identifier le système de fichiers, inventorier les entrées actives et supprimées, construire une timeline, puis extraire les fichiers par inode.

sha256sum synapse-lab-01.raw

file synapse-lab-01.raw
fsstat synapse-lab-01.raw | less

fls -r -p synapse-lab-01.raw
fls -r -d -p synapse-lab-01.raw

fls -r -m / synapse-lab-01.raw > bodyfile.txt
mactime -b bodyfile.txt -z Europe/Brussels -d > timeline.csv

grep '2026-06-18' timeline.csv
grep -Ei 'orion|transfer|zip|history' timeline.csv

icat synapse-lab-01.raw INODE > recovered-orion.pdf
file recovered-orion.pdf
sha256sum recovered-orion.pdf

foremost -i synapse-lab-01.raw -o carving-output
find carving-output -type f -exec file {} \;

mkdir extraction
tsk_recover synapse-lab-01.raw extraction
grep -REin 'ORION|TRANSFER|history -c' extraction/ carving-output/

Récupération par métadonnées vs carving

Votre livrable

1. Quel est le SHA-256 de l'image ?
2. Quel système de fichiers et quel label de volume identifiez-vous ?
3. Quels fichiers ont été supprimés, et quels sont leurs inodes ?
4. À quelle heure le support USB a-t-il été connecté ?
5. À quelle heure l'archive a-t-elle été créée ?
6. Quel document confidentiel pouvez-vous récupérer, et par quelle méthode ?
7. Quelle différence observez-vous entre la récupération par icat et le carving ?
8. Rédigez une courte conclusion qui sépare clairement les faits des hypothèses.

Corrigé guidé

Un rapport reproductible

Quels que soient vos outils, le compte rendu suit les mêmes six temps. Gardez les faits et l'interprétation dans des sections séparées.

Pour aller plus loin

Ce lab reproduit les premières heures d'une vraie investigation interne : préserver, timeline, récupérer, et rester discipliné sur l'écart entre ce qu'un artefact montre et ce qu'il prouve. Deux fichiers peuvent sembler identiques et raconter des histoires différentes selon leur origine, un inode actif ou un fragment carvé.

Pour creuser :

• The Sleuth Kit & Autopsy, la boîte à outils open source derrière fls, icat, mactime et tsk_recover.
• foremost, carving de fichiers par signature, sur image et espace non alloué.
• Posters DFIR du SANS, timelines forensic Windows et Linux, aide-mémoire d'artefacts.
• Format ext4 sur disque, comment inodes, extents et journalisation stockent réellement vos preuves.