La criminalistique numérique est un processus de conservation, d'identification, d'extraction et de documentation de preuves informatiques qui peut être utilisé par le tribunal. Il existe de nombreux outils qui vous aident à rendre ce processus simple et facile. Ces applications fournissent des rapports complets qui peuvent être utilisés pour les procédures judiciaires.
Voici une liste triée sur le volet des boîtes à outils de criminalistique numérique, avec leurs fonctionnalités populaires et leurs liens vers des sites Web. La liste contient à la fois des logiciels open source (gratuits) et commerciaux (payants).
1) ProDiscover Forensic
ProDiscover Forensic est une application de sécurité informatique qui vous permet de localiser toutes les données sur un disque informatique. Il peut protéger les preuves et créer des rapports de qualité pour l'utilisation des procédures légales. Cet outil vous permet d'extraire des informations EXIF (Exchangeable Image File Format) à partir de fichiers JPEG.webp.
Caractéristiques :
- Ce produit prend en charge les systèmes de fichiers Windows, Mac et Linux.
- Vous pouvez prévisualiser et rechercher rapidement les fichiers suspects.
- Il crée une copie de l'intégralité du disque suspect pour conserver les preuves originales en toute sécurité.
- Cet outil vous aide à voir l'historique Internet.
- Vous pouvez importer ou exporter des images au format .dd.
- Il vous permet d'ajouter des commentaires à la preuve de votre intérêt.
- ProDiscover Forensic prend en charge VMware pour exécuter une image capturée.
Lien : https://www.prodiscover.com
2) Kit de détective (+ autopsie)
Sleuth Kit (+ Autopsy) est un utilitaire basé sur Windows qui facilite l'analyse médico-légale des systèmes informatiques. Cet outil vous permet d'examiner votre disque dur et votre smartphone.
Caractéristiques :
- Vous pouvez identifier efficacement l'activité à l'aide d'une interface graphique.
- Cette application fournit une analyse des e-mails.
- Vous pouvez regrouper les fichiers par type pour rechercher tous les documents ou images.
- Il affiche une vignette d'images pour visualiser rapidement les images.
- Vous pouvez baliser des fichiers avec des noms de balises arbitraires.
- Le kit Sleuth vous permet d'extraire des données des journaux d'appels, SMS, contacts, etc.
- Il vous aide à marquer les fichiers et les dossiers en fonction du chemin et du nom.
Lien : https://www.sleuthkit.org
3) CAINE
CAINE est une application basée sur Ubuntu qui offre un environnement médico-légal complet qui fournit une interface graphique. Cet outil peut être intégré aux outils logiciels existants en tant que module. Il extrait automatiquement une chronologie de la RAM.
Caractéristiques :
- Il accompagne l'enquêteur numérique pendant les quatre phases de l'enquête numérique.
- Il offre une interface conviviale.
- Vous pouvez personnaliser les fonctionnalités de CAINE.
- Ce logiciel propose de nombreux outils conviviaux.
Lien : https://www.caine-live.net
4) PALADIN
PALADIN est un outil basé sur Ubuntu qui vous permet de simplifier une gamme de tâches médico-légales. Il fournit plus de 100 outils utiles pour enquêter sur tout matériel malveillant. Cet outil vous aide à simplifier votre tâche médico-légale rapidement et efficacement.
Caractéristiques :
- Il fournit des versions 64 bits et 32 bits.
- Cet outil est disponible sur une clé USB.
- Cette boîte à outils contient des outils open source qui vous aident à rechercher les informations requises sans effort.
- Cet outil comprend plus de 33 catégories qui vous aident à accomplir une tâche de cyber-criminalistique.
Lien : https://sumuri.com/software/paladin/
5) EnCase
Encase est une application qui vous aide à récupérer des preuves à partir de disques durs. Il vous permet de mener une analyse approfondie des fichiers pour collecter des preuves telles que des documents, des images, etc.
Caractéristiques :
- Vous pouvez acquérir des données à partir de nombreux appareils, y compris les téléphones mobiles, les tablettes, etc.
- Il vous permet de produire des rapports complets pour maintenir l'intégrité des preuves.
- Vous pouvez rechercher, identifier et hiérarchiser rapidement les preuves.
- Encase-forensic vous aide à déverrouiller des preuves cryptées.
- Il automatise la préparation des preuves.
- Vous pouvez effectuer une analyse approfondie et de triage (gravité et priorité des défauts).
Lien : https://www.guidancesoftware.com/encase-forensic
6) SANS SIFT
SANS SIFT est une distribution de criminalistique informatique basée sur Ubuntu. Il fournit un service d'examen médico-légal numérique et de réponse aux incidents.
Caractéristiques :
- Il peut fonctionner sur un système d'exploitation 64 bits.
- Cet outil aide les utilisateurs à mieux utiliser la mémoire.
- Il met automatiquement à jour le package DFIR (Digital Forensics and Incident Response).
- Vous pouvez l'installer via le programme d'installation SIFT-CLI (Command-Line Interface).
- Cet outil contient de nombreux derniers outils et techniques médico-légaux.
Lien : https://digital-forensics.sans.org/community/downloads/
7) imageur FTK
FTK Imager est une boîte à outils médico-légale développée par AccessData qui peut être utilisée pour obtenir des preuves. Il peut créer des copies de données sans apporter de modifications aux preuves originales. Cet outil vous permet de spécifier des critères, tels que la taille du fichier, la taille des pixels et le type de données, pour réduire la quantité de données non pertinentes.
Caractéristiques :
- Il fournit une approche assistée pour détecter la cybercriminalité.
- Ce programme offre une meilleure visualisation des données à l'aide d'un graphique.
- Vous pouvez récupérer les mots de passe de plus de 100 applications.
- Il dispose d'une fonction d'analyse de données avancée et automatisée.
- FTK Imager vous aide à gérer les profils réutilisables pour différentes exigences d'enquête.
- Il prend en charge le raffinement avant et après traitement.
Lien : https://accessdata.com/products-services/forensic-toolkit-ftk
8) Capture de RAM magnétique
La capture de RAM magnétique enregistre la mémoire d'un ordinateur suspect. Il permet aux enquêteurs de récupérer et d'analyser des objets de valeur trouvés dans la mémoire.
Caractéristiques :
- Vous pouvez exécuter cette application tout en minimisant les données écrasées en mémoire.
- Il vous permet d'exporter les données de mémoire capturées et de les télécharger dans des outils d'analyse tels que l'aimant AXIOM et l'aimant IEF.
- Cette application prend en charge une vaste gamme de systèmes d'exploitation Windows.
- La capture de RAM magnétique prend en charge l'acquisition de RAM.
Lien : https://www.magnetforensics.com/resources/magnet-ram-capture/
9) Forensics X-Ways
X-Ways est un logiciel qui fournit un environnement de travail aux examinateurs judiciaires informatiques. Ce programme prend en charge le clonage de disque et la création d'image. Il vous permet de collaborer avec d'autres personnes qui disposent de cet outil.
Caractéristiques :
- Il a la capacité de lire les structures de partitionnement et de système de fichiers dans les fichiers image .dd.
- Vous pouvez accéder aux disques, aux RAID (matrice redondante de disques indépendants), etc.
- Il identifie automatiquement les partitions perdues ou supprimées.
- Cet outil peut facilement détecter NTFS (New Technology File System) et ADS (Alternate Data Streams).
- X-Ways Forensics prend en charge les signets ou les annotations.
- Il a la capacité d'analyser les ordinateurs distants.
- Vous pouvez afficher et modifier des données binaires à l'aide de modèles.
- Il fournit une protection en écriture pour maintenir l'authenticité des données.
Lien : http://www.x-ways.net/forensics/
10) Wireshark
Wireshark est un outil qui analyse un paquet réseau. Il peut être utilisé pour les tests et le dépannage du réseau. Cet outil vous aide à vérifier le trafic différent passant par votre système informatique.
Caractéristiques :
- Il fournit une analyse VoIP (Voice over Internet Protocol) riche.
- Les fichiers de capture compressés avec gzip peuvent être décompressés facilement.
- La sortie peut être exportée vers un fichier XML (Extensible Markup Language), CSV (Comma Separated Values) ou du texte brut.
- Les données en direct peuvent être lues à partir du réseau, blue-tooth, ATM, USB, etc.
- Prise en charge du décryptage pour de nombreux protocoles qui incluent IPsec (Internet Protocol Security), SSL (Secure Sockets Layer) et WEP (Wired Equivalent Privacy).
- Vous pouvez appliquer une analyse intuitive, des règles de coloration au paquet.
- Vous permet de lire ou d'écrire un fichier dans n'importe quel format.
Lien : https://www.wireshark.org
11) Reconnaissance du registre
Registry Recon est un outil d'analyse informatique utilisé pour extraire, récupérer et analyser les données de registre à partir du système d'exploitation Windows. Ce programme peut être utilisé pour déterminer efficacement les périphériques externes qui ont été connectés à n'importe quel PC.
Caractéristiques:
- Il prend en charge Windows XP, Vista, 7, 8, 10 et d'autres systèmes d'exploitation.
- Cet outil récupère automatiquement les précieuses données NTFS.
- Vous pouvez l'intégrer à l'outil utilitaire Microsoft Disk Manager.
- Montez rapidement tous les VSC (Volume Shadow Copies) VSC dans un disque.
- Ce programme reconstruit la base de données de registre active.
Lien : https://arsenalrecon.com/products/
12) Cadre de volatilité
Volatility Framework est un logiciel d'analyse de la mémoire et de criminalistique. Il vous aide à tester l'état d'exécution d'un système à l'aide des données trouvées dans la RAM. Cette application vous permet de collaborer avec vos coéquipiers.
Caractéristiques :
- Il possède une API qui vous permet de rechercher rapidement des indicateurs PTE (Page Table Entry).
- Volatility Framework prend en charge KASLR (Kernel Address Space Layout Randomization).
- Cet outil fournit de nombreux plugins pour vérifier le fonctionnement des fichiers Mac.
- Il exécute automatiquement la commande Failure lorsqu'un service ne parvient pas à démarrer plusieurs fois.
Lien : https://www.volatilityfoundation.org
13) Xplico
Xplico est une application d'analyse médico-légale open source. Il prend en charge HTTP (Hypertext Transfer Protocol), IMAP (Internet Message Access Protocol), etc.
Caractéristiques :
- Vous pouvez obtenir vos données de sortie dans la base de données SQLite ou la base de données MySQL.
- Cet outil vous offre une collaboration en temps réel.
- Aucune limite de taille sur la saisie des données ou le nombre de fichiers.
- Vous pouvez facilement créer tout type de répartiteur pour organiser les données extraites de manière utile.
- Il prend en charge IPv4 et IPv6.
- Vous pouvez effectuer une recherche DNS de réserve à partir de packages DNS contenant des fichiers d'entrée.
- Xplico fournit la fonction PIPI (Port Independent Protocol Identification) pour prendre en charge la criminalistique numérique.
Lien : https://www.xplico.org
14) e-fense
E-fense est un outil qui vous aide à répondre à vos besoins en matière de criminalistique informatique et de cybersécurité. Il vous permet de découvrir des fichiers à partir de n'importe quel appareil dans une interface simple à utiliser.
Caractéristiques :
- Il offre une protection contre les comportements malveillants, le piratage et les violations de politique.
- Vous pouvez acquérir l'historique Internet, la mémoire et la capture d'écran d'un système sur une clé USB.
- Cet outil dispose d'une interface simple à utiliser qui vous permet d'atteindre votre objectif d'enquête.
- E-fense prend en charge le multithreading, ce qui signifie que vous pouvez exécuter plusieurs threads simultanément.
Lien : http://www.e-fense.com/products.php
15) Frappe de foule
Crowdstrike est un logiciel médico-légal numérique qui fournit des informations sur les menaces, la sécurité des terminaux, etc. Vous pouvez utiliser cet outil pour trouver et bloquer les attaquants en temps réel.
Caractéristiques :
- Cet outil vous aide à gérer les vulnérabilités du système.
- Il peut analyser automatiquement les logiciels malveillants.
- Vous pouvez sécuriser votre centre de données virtuel, physique et basé sur le cloud.
Lien : https://www.crowdstrike.com/endpoint-security-products/falcon-endpoint-protection-pro/