Cet aperçu rassemble toutes les questions et réponses relatives à la criminalistique informatique destinées aux autorités chargées de l'application de la loi chez LanCologne – de la saisie des preuves numériques à leur évaluation et à l'identification des auteurs, en passant par les systèmes informatiques d'entreprise, les expertises et leur utilisation devant les tribunaux. Cliquez sur une catégorie pour afficher les questions correspondantes.
Appréciation des preuves, plausibilité et hypothèses d'enquête
- Comment les traces numériques à charge et à décharge sont-elles examinées de manière équitable ?
- Comment décomposer une question d'enquête numérique en sous-questions vérifiables sur le plan technique ?
- Comment transformer une hypothèse de recherche en hypothèses et contre-hypothèses vérifiables sur le plan technique ?
- Comment évalue-t-on la force probante d'un artefact numérique pris isolément ?
- Comment regrouper plusieurs indices faibles pour aboutir à une conclusion technique globale solide ?
- Comment mettre en balance les résultats compromettants et les contre-résultats techniques qui les infirment ?
- Dans quels cas un résultat technique négatif est-il fiable ?
- Dans quels cas une exclusion technique a-t-elle plus de poids qu'une simple absence de preuve ?
- Comment documenter de manière fiable une explication alternative techniquement plausible ?
- Comment vérifie-t-on si la déposition d'un prévenu est techniquement plausible ?
- Comment vérifie-t-on si un témoignage concernant un événement numérique est techniquement possible ?
- Comment établit-on un lien entre plusieurs appareils saisis appartenant à un prévenu ?
- Comment les déclarations contradictoires sont-elles recoupées avec les traces numériques ?
- Un logiciel malveillant peut-il constituer une explication alternative à charge ou à décharge ?
- Comment préserve-t-on la frontière entre l'analyse technique et la décision d'enquête ?
- Comment procède-t-on à la documentation lorsque deux méthodes reconnues aboutissent à des résultats différents ?
- Comment les indices liés aux techniques anti-forensiques ou à l'effacement des traces sont-ils examinés ?
- Comment vérifie-t-on, d'un point de vue technique, la plausibilité d'une chaîne d'événements numériques présumée ?
- Comment les éléments de preuve numériques contradictoires sont-ils traités dans le cadre de l'enquête préliminaire ?
- Dans quels cas l'absence d'un artefact numérique revêt-elle une importance pour l'enquête ?
- Dans quels cas une deuxième expertise informatique judiciaire indépendante est-elle utile pour les autorités chargées de l'enquête ?
- Comment les analyses médico-légales existantes sont-elles validées de manière indépendante ?
- Comment distinguer les traces numériques de plusieurs prévenus les unes des autres ?
- Comment distingue-t-on techniquement les traces numériques au sein d'un groupe d'auteurs ?
- Comment vérifie-t-on les allégations de manipulation des horodatages numériques ?
- Comment distinguer une suppression présumée de traces d'un nettoyage régulier du système ?
- Comment documenter de manière fiable une explication technique alternative à décharge ?
- Dans quels cas une hypothèse d'enquête peut-elle être techniquement écartée ?
Identification des auteurs, comptes et accès à distance
- Une activité numérique peut-elle être associée à un compte utilisateur ou à une personne physique ?
- Comment évalue-t-on les différents appareils d'origine possibles d'un contenu numérique ?
- Comment les comptes partagés sont-ils pris en compte lors de l'identification des auteurs ?
- Comment vérifie-t-on, à titre d'hypothèse alternative, l'utilisation d'identifiants volés ou communiqués à des tiers ?
- Comment les événements MFA sont-ils pris en compte dans l'attribution des utilisateurs ?
- Comment les jetons de session sont-ils pris en compte lors de la reconstitution de l'historique d'utilisation du compte ?
- Comment les données des fournisseurs de services cloud sont-elles synchronisées avec celles des terminaux locaux ?
- Comment les données de la station opposée sont-elles utilisées dans les protocoles de communication ?
- Comment un accès à distance présumé est-il examiné en tant qu'hypothèse alternative concernant l'auteur des faits ?
- Comment les journaux côté serveur sont-ils synchronisés avec les données locales de l'application ?
- Comment reconstituer une chaîne d'événements incomplète ?
- Comment vérifie-t-on si deux événements numériques sont liés de manière causale ?
- Comment plusieurs appareils sont-ils pris en compte avec le même compte cloud ?
- Comment fait-on la distinction entre le comportement automatisé du système et l'action délibérée de l'utilisateur ?
Méthodologie d'analyse technique, horodatage et qualité des données
- Comment les limites d'extraction d'un ensemble de données médico-légales sont-elles documentées ?
- Comment vérifie-t-on si un analyseur syntaxique forensic a correctement interprété une structure de données ?
- Quand un contrôle des données brutes est-il nécessaire ?
- Comment examine-t-on les artefacts numériques inconnus ou rares ?
- Comment procède-t-on à l'analyse médico-légale des nouvelles versions d'applications et des modifications apportées aux structures de bases de données ?
- Comment les App-Update sont-ils pris en compte pour expliquer des données apparemment contradictoires ?
- Comment les différentes versions d'une même application sur plusieurs appareils sont-elles évaluées ?
- Comment évaluer les horodatages dont la sémantique est inconnue ou peu documentée ?
- Comment les erreurs de fuseau horaire entre les appareils, le Servern et les systèmes cloud sont-elles détectées ?
- Comment les décalages de synchronisation sont-ils pris en compte dans une chronologie d'enquête ?
- Comment les hachages de fichiers sont-ils utilisés dans le cadre d'enquêtes de grande envergure ?
- Comment réduire efficacement les doublons dans les enquêtes ?
Saisie, mise en sûreté et fondements juridiques
- Comment les éléments de preuve numériques saisis sont-ils techniquement transférés et consignés ?
- Comment procède-t-on à l'analyse technique des supports de stockage électroniques conformément à l'article 110 du Code de procédure pénale ?
- Comment l'intégrité d'une sauvegarde judiciaire est-elle documentée dans le cadre de l'enquête ?
- Dans quels cas est-il judicieux d'effectuer une sauvegarde en direct d'un système en fonctionnement ?
- Comment procède-t-on à l'analyse judiciaire des ordinateurs chiffrés dans le cadre d'une enquête préliminaire ?
- Comment les smartphones bloqués sont-ils classés sur le plan technique dans le cadre d'une enquête préliminaire ?
- Comment rassembler un ensemble complexe de preuves numériques en vue de l'instruction et du procès qui suivra ?
- Comment quantifie-t-on l'impact des données incomplètes sur l'évaluation des résultats ?
- Comment formule-t-on une conclusion technique avec un niveau de certitude gradué ?
- Quelles opérations sont encore possibles après une réinitialisation aux paramètres d'usine ?
- Comment un formatage ou une réinstallation est-il pris en compte dans le cadre d'une enquête préliminaire ?
- Comment les sauvegardes et les instantanés sont-ils utilisés comme sources d'enquête ?
- Comment les éléments de preuve endommagés ou incomplets sont-ils évalués par des experts ?
Modifications du système, migration et modifications ultérieures
- Comment les traces sont-elles évaluées selon un système d'exploitation Upgrade ?
- Comment les traces sont-elles évaluées après un changement d'appareil ou une migration ?
- Comment les données sont-elles évaluées après une restauration à partir d'une sauvegarde ?
- Comment les modifications apportées a posteriori au système sont-elles documentées dans le cadre des mesures d'enquête ou de sauvegarde ?
- Comment sont traitées les nouvelles découvertes techniques qui ne relèvent pas de l'objet initial de l'enquête ?
- Comment un résultat technique fortuit est-il consigné de manière professionnelle ?
Expertises, procédures judiciaires et ministère public
- Pourquoi un service d'enquête pénale peut-il faire appel à un expert externe en informatique légale ?
- Comment vérifier la fiabilité technique d'un rapport d'expertise judiciaire existant ?
- Comment résumer de manière compréhensible les conclusions d'une expertise informatique judiciaire afin de faciliter la prise de décision du parquet ?
- Comment préparer un rapport d'expertise informatique complexe en vue de l'audience principale ?
- Comment les conclusions techniques sont-elles consignées en vue des demandes de précisions émanant du tribunal et de la défense ?
- Comment réaliser une deuxième étude reproductible à partir de la même base de données ?
- Comment établit-on une expertise informatique légale finale et exhaustive à l'intention des autorités chargées de l'application de la loi ?
- Comment documenter de manière reproductible une expertise informatique judiciaire en vue de la défense et de la procédure judiciaire ultérieure ?
- Comment une expertise est-elle réalisée dans le cadre d'une enquête préliminaire menée par le parquet ?
- Comment les conclusions de l'expertise informatique sont-elles présentées de manière à pouvoir être exposées ultérieurement dans le cadre d'une procédure judiciaire ?
Informatique d'entreprise, systèmes cloud et réseaux
- L'utilisation d'un compte professionnel partagé peut-elle être attribuée à des personnes spécifiques ?
- Comment les connexions à Active Directory sont-elles évaluées dans le cadre d'une enquête préliminaire ?
- Comment les connexions via Entra-ID ou via l'identité cloud sont-elles classées d'un point de vue médico-légal ?
- Comment les journaux des ordinateurs locaux et les journaux centraux du service d'annuaire sont-ils mis en corrélation ?
- Est-il possible de savoir quel utilisateur a accédé à un serveur de fichiers ?
- Est-il possible de retracer l'utilisation d'un NAS dans le cadre d'une enquête judiciaire ?
- Comment les fichiers SharePoint et leurs versions sont-ils évalués dans le cadre d'une enquête préliminaire ?
- Comment les traces de synchronisation OneDrive sont-elles analysées dans le cadre d'enquêtes ?
- Comment les données d'audit de Microsoft 365 sont-elles évaluées dans le cadre d'une enquête judiciaire ?
- Comment les boîtes aux lettres Exchange et les traces de messagerie côté serveur sont-elles analysées ?
- Comment procède-t-on à l'analyse judiciaire des communications sur Teams et des éléments liés aux réunions ?
- Est-il possible de déterminer si des données de l'entreprise ont été partagées à l'extérieur ?
- Comment les modifications des autorisations sont-elles reconstituées dans les systèmes d'entreprise ?
- Est-il possible de déterminer qui a accordé des droits étendus à un utilisateur ?
- Comment les sessions de serveur de terminaux et de bureau à distance sont-elles attribuées à chaque utilisateur ?
- Comment procède-t-on à une analyse médico-légale des environnements VDI ?
- Comment les données MDM sont-elles prises en compte dans le cadre des enquêtes sur les smartphones ?
- Est-il techniquement possible de restaurer les données effacées à distance ?
- Comment les systèmes de sauvegarde des réseaux d'entreprise sont-ils utilisés comme source d'enquête ?
- Comment procède-t-on à l'analyse forensic des systèmes de journalisation centraux et des données SIEM ?
- Comment les journaux de pare-feu sont-ils utilisés comme éléments de preuve dans le cadre d'enquêtes ?
- Comment les journaux des serveurs proxy et des passerelles Web sont-ils analysés au sein du réseau d'entreprise ?
- Comment les données DHCP et d'accès au réseau sont-elles utilisées pour l'affectation des appareils ?
- Comment les données du contrôleur WLAN sont-elles évaluées dans le cadre d'une enquête préliminaire ?
- Est-il possible de prouver l'utilisation d'un ordinateur de bureau spécifique sur le réseau de l'entreprise ?
- Comment les serveurs de fichiers, la messagerie électronique et les terminaux sont-ils mis en corrélation pour former une chaîne d'événements commune ?
- Est-il possible de déterminer si des données d'entreprise ont été divulguées via des services de stockage dans le cloud privés ?
- Est-il possible de prouver techniquement qu'un fichier a été téléchargé vers un service web ?
- Comment vérifie-t-on la provenance d'un document d'entreprise téléchargé ?
Traces liées aux appareils, aux communications et à la localisation
- Comment les fichiers supprimés sont-ils pris en compte dans le cadre d'une enquête judiciaire ?
- Comment reconstitue-t-on une chronologie numérique des événements pour les enquêteurs ?
- Comment les données numériques de localisation sont-elles prises en compte dans le cadre d'une enquête préliminaire ?
- Comment les traces de synchronisation dans le cloud sont-elles prises en compte dans les enquêtes ?
- Comment les données issues des applications de messagerie sont-elles analysées de manière fiable dans le cadre d'une enquête judiciaire ?
- Comment vérifie-t-on l'origine d'un e-mail dans le cadre d'une enquête judiciaire ?
- Comment les traces de navigation et de recherche sont-elles évaluées dans le cadre d'une enquête ?
- Comment les bases de données SQLite, les fichiers WAL et les journaux sont-ils pris en compte dans le cadre d'une enquête judiciaire ?
- Comment les métadonnées des photos et des vidéos sont-elles examinées dans le cadre d'une enquête préliminaire ?
- Comment vérifie-t-on l'authenticité d'une capture d'écran ?
- Quelle est l'importance des archives et des conteneurs chiffrés dans le cadre des enquêtes ?
- Comment les machines virtuelles sont-elles considérées en tant qu'environnement d'enquête autonome ?
Autres questions
- Comment procéder à une contre-vérification indépendante d'une expertise informatique existante réalisée par un autre organisme ?
- Comment distinguer les événements automatisés qui découlent d'actions manuelles ?
- Comment vérifie-t-on si les processus en arrière-plan constituent une autre explication possible aux accès aux fichiers ?
- Comment la maintenance du système et la rotation des fichiers journaux sont-elles prises en compte comme causes de l'absence de traces ?
- Est-il techniquement possible de retracer une fuite de données via des périphériques USB ?
- Est-il possible de retracer une fuite de données via des partages réseau ?
- Comment l'utilisation d'un VPN est-elle prise en compte dans l'attribution des activités sur Internet ?
- Comment les connexions par proxy, relais ou Tor sont-elles classées d'un point de vue technique ?
- Quelle est la valeur probante d'une adresse IP dans le cadre d'une enquête judiciaire ?
- Quelle est la valeur probante des traces d'ADN dans le cadre d'une enquête judiciaire ?
- Comment les journaux système et de sécurité sont-ils considérés comme des éléments de preuve dans le cadre d'une enquête ?
- Est-il possible de retracer l'utilisation des droits d'administrateur au cours de l'enquête préliminaire ?
- Peut-on envisager la compromission d'un compte comme hypothèse alternative concernant l'auteur des faits ?
- Comment les ordinateurs partagés sont-ils pris en compte lors de l'identification de l'auteur des faits ?
- Comment analyser de manière ciblée de grands volumes de données en fonction d'une question d'enquête ?
- Comment les termes de recherche et les listes de résultats sont-ils validés d'un point de vue médico-légal ?
- Comment les données supprimées provenant de zones non allouées sont-elles évaluées ?
- Comment les résultats du carving sont-ils pris en compte dans l'enquête préliminaire ?
- Est-il possible d'associer un fichier à un support de données spécifique en tant que source d'origine ?
- Comment la provenance d'une preuve numérique est-elle documentée ?
- Comment traiter un élément de preuve ayant fait l'objet d'une modification technique ?
- Comment évalue-t-on, d'un point de vue technique, les chaînes de preuves manquantes ou incomplètes ?
- Comment résoudre les contradictions entre les premières et les deuxièmes analyses ?
- Comment détecter les erreurs d'analyse et les interprétations erronées dans les rapports existants ?
- Comment harmoniser les différentes sources de temps provenant du cloud, de Server et des terminaux ?
- Comment les horloges des appareils sont-elles synchronisées à l'aide de signaux de référence externes ?