Informatique légale · Linux

Corréler les processus en cours d'exécution avec les mécanismes de persistance d'un point de vue informatique légal – De l'état d'exécution à l'ancrage durable

On ne peut obtenir une image complète d'un point de vue informatique légal qu'en comparant l'état actuel d'exécution d'un système avec les mécanismes de persistance configurés de manière permanente. Un processus en cours d'exécution et passant inaperçu peut, par exemple, provenir d'une entrée de démarrage automatique non détectée.

Demande sans engagement

À l'inverse, un mécanisme de persistance existant peut être inactif au moment de l'analyse, par exemple parce qu'il est programmé pour ne s'exécuter qu'ultérieurement. Ces deux perspectives se complètent donc mutuellement.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous recoupons systématiquement les informations de durée d'exécution collectées dans /proc avec les mécanismes de persistance identifiés, tels que Cron, les unités systemd et les configurations de démarrage automatique, afin de déterminer l'origine et le déclencheur de chaque processus concerné.

Domaines d'application typiques

•Détermination de l'origine des processus en cours qui présentent des anomalies
•Lien entre l'état d'exécution et l'analyse de la configuration
•Étude sur les logiciels malveillants réactivés à une heure prédéfinie
•Établissement d'un tableau complet de la persistance et de l'exécution
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment s'effectue la corrélation entre les processus et la persistance

Une fois les informations relatives à la durée d'exécution et aux configurations de persistance collectées, ces deux sources de données sont systématiquement comparées. Pour chaque processus suspect, on vérifie s’il existe une entrée correspondante dans le démarrage automatique, dans Cron ou dans les services. Pour chaque mécanisme de persistance identifié, on vérifie si un processus correspondant est actif ou prévu pour une date ultérieure.

En quoi cette corrélation présente-t-elle un intérêt sur le plan médico-légal ?

Une analyse isolée, qu'elle porte uniquement sur l'état d'exécution ou uniquement sur les fichiers de configuration, ne peut fournir qu'une vision partielle de la situation réelle. Ce n'est qu'en combinant ces deux aspects que l'on obtient une vue d'ensemble complète.

Cette méthode permet en outre d'attribuer de manière ciblée une cause à des processus inexpliqués, plutôt que de les considérer simplement comme des anomalies sans leur attribuer de valeur.

Foire aux questions

Pourquoi la liste des procédures ne suffit-elle pas à elle seule ?+
Parce qu'elle n'indique que l'état actuel, sans préciser comment et pourquoi un processus a été lancé, ni s'il allait être relancé.
Que signifie un processus dépourvu de mécanisme de persistance identifiable ?+
Cela peut indiquer une intervention manuelle, un mécanisme qui n'a pas encore été identifié ou une dissimulation délibérée, et fait l'objet d'une enquête distincte.
Cette corrélation est-elle effectuée pour chaque cas ?+
En cas de suspicion de compromission ou d'activité non autorisée, elle fait partie intégrante d'une enquête approfondie.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle sur le thème „ Corrélation des processus en cours avec les mécanismes de persistance " ? LanCologne vous accompagne dans la sauvegarde des preuves numériques conforme aux exigences judiciaires ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant