Informatique légale · Linux

Reconstitution forensic des connexions réseau (ss/netstat) – Analyse des connexions actives et historiques

Des outils tels que « ss » ou l'ancien « netstat » affichent les connexions réseau actives ainsi que les ports à l'écoute d'un système en cours d'exécution, en s'appuyant pour cela sur des informations internes au noyau qui ne sont disponibles qu'au moment de l'exécution.

Demande sans engagement

Ces informations ne pouvant plus être reconstituées après l'arrêt d'un système, leur collecte n'est possible que sur des systèmes encore en fonctionnement, dans le cadre d'une collecte en temps réel.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Pour les systèmes en cours d'exécution, nous recensons les connexions réseau actives et les ports à l'écoute, puis nous les mettons en corrélation avec les processus associés afin d'identifier les voies de communication inhabituelles ou non autorisées.

Domaines d'application typiques

•Recensement des connexions réseau actives lors d'analyses en temps réel
•Identification des services écoutant sans autorisation
•Corrélation entre les connexions réseau et les processus déclencheurs
•Soutien aux procédures d'intervention en cas d'incident urgent
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse de connexion réseau

Lorsqu'un système est encore en cours d'exécution, les connexions actives et les ports en écoute sont recensés et associés aux processus correspondants. Les connexions suspectes vers des adresses de destination inconnues ou inattendues font l'objet d'une analyse distincte et sont comparées à d'autres éléments, tels que la configuration du pare-feu et les listes de processus.

En quoi cette analyse présente-t-elle un intérêt sur le plan médico-légal ?

Les connexions réseau actives peuvent fournir des indices directs d'une compromission en cours, par exemple une connexion à un serveur de commande et de contrôle Server connu ou un service qui se trouve inopinément à l'écoute.

Ces informations n'étant disponibles qu'au moment de l'exécution, il est particulièrement important de prendre rapidement la décision de procéder à une collecte en temps réel en cas de suspicion de compromission active.

Foire aux questions

Est-il possible de reconstituer a posteriori les connexions réseau ?+
Uniquement de manière limitée via les journaux ou les protocoles réseau, mais pas avec le même niveau de détail que lors d'une collecte en temps réel des données du système en fonctionnement.
Que révèle une corrélation entre la connexion et le processus ?+
Quel processus concret est responsable d'une connexion réseau donnée, ce qui facilite considérablement l'identification des communications suspectes.
Un rootkit peut-il masquer des connexions réseau ?+
Oui, c'est pourquoi, en cas de soupçon, on a recours à des méthodes de vérification indépendantes supplémentaires, telles que l'enregistrement des paquets au niveau du réseau.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant la „ reconstitution judiciaire des connexions réseau (ss/netstat) " ? LanCologne vous accompagne dans la sauvegarde des preuves numériques conformes aux exigences judiciaires ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant