Informatique légale · Linux

Analyse médico-légale des règles iptables/nftables – Vérification de la configuration du pare-feu et de ses modifications

Sous Linux, iptables et nftables, plus moderne, gèrent le filtrage du trafic réseau au niveau des paquets. Leurs ensembles de règles déterminent quel trafic est autorisé, bloqué ou redirigé.

Demande sans engagement

Une règle ajoutée de manière ciblée peut être utilisée pour permettre de manière permanente un accès supplémentaire et non autorisé au réseau ou pour contourner certains mécanismes de surveillance ; c'est pourquoi les règles de pare-feu font l'objet d'une analyse médico-légale.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous recensons de manière exhaustive la configuration active et persistante du pare-feu, vérifions si certaines règles présentent des anomalies et associons les autorisations inhabituelles à d'éventuels mécanismes de persistance ou d'exfiltration.

Domaines d'application typiques

•Détection d'ouvertures supplémentaires et non autorisées dans le pare-feu
•Analyse des règles de sécurité désactivées
•Analyse des redirection de ports et des configurations NAT
•Évaluation de l'exposition d'un système au réseau
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse iptables/nftables

Une fois la sauvegarde effectuée, la configuration du pare-feu actuellement active ainsi que celle persistante, chargée au démarrage du système, sont enregistrées. La plausibilité de chaque règle est vérifiée et celle-ci est comparée aux configurations standard attendues. Les autorisations ou redirection suspectes sont documentées séparément.

Pourquoi l'analyse du pare-feu présente-t-elle un intérêt sur le plan médico-légal ?

Une règle de pare-feu non autorisée peut permettre à un attaquant d'obtenir un accès permanent au réseau, même si d'autres mécanismes de persistance ont été détectés et supprimés.

La désactivation ciblée de règles de protection existantes peut également constituer un élément important d'une attaque et fait donc l'objet d'un examen tout aussi minutieux que les nouvelles règles ajoutées.

Foire aux questions

Quelle est la différence entre iptables et nftables ?+
nftables est le successeur plus moderne d'iptables, avec une syntaxe unifiée et des fonctionnalités en partie étendues ; les deux servent toutefois le même objectif fondamental, à savoir le filtrage des paquets.
Comment détecter une règle de pare-feu altérée ?+
En comparant les configurations connues et attendues, et en vérifiant s'il existe des autorisations inhabituelles, des redirection ou des règles de protection désactivées.
Les règles temporaires, non persistantes, sont-elles également prises en compte ?+
Dans le cas d'une collecte en temps réel sur un système en fonctionnement, oui ; dans le cas d'une simple analyse hors ligne, uniquement la configuration enregistrée.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire des règles iptables/nftables " ? LanCologne vous accompagne dans la sauvegarde des preuves numériques conformément aux exigences judiciaires, ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant