Après une cyberattaque : préserver les preuves numériques et comprendre l'incident
Les erreurs critiques à éviter lors des premières heures et les bonnes pratiques de la chaîne de conservation (Chain of Custody).
Alex Awamba
Élève ingénieur en cybersécurité & investigation numérique · ENSP Yaoundé
Éteindre ou réinstaller un serveur compromis anéantit définitivement la mémoire volatile (RAM) et empêche de déterminer l'origine de l'intrusion. Isolez d'abord le réseau, préservez les artefacts, puis enquêtez.
1. La 'Golden Hour' : les réflexes fatals à proscrire
Lorsqu'un administrateur système découvre qu'un serveur principal affiche une note de rançon ou se comporte anormalement, la tentation immédiate est souvent de :
- Redémarrer brutalement la machine pour 'voir si le bug disparaît' ;
- Débrancher le cordon d'alimentation électrique ;
- Lancer un scan antivirus agressif sur le disque infecté ;
- Réinstaller immédiatement une image système propre pour restaurer le service au plus vite.
Toutes ces actions sont destructrices pour l'enquête. En coupant l'alimentation ou en redémarrant le système, on efface instantanément l'intégralité de la mémoire vive (RAM). Or, c'est précisément dans la RAM que se trouvent les clés de déchiffrement temporaires, les connexions réseau actives des attaquants, les processus injectés en mémoire (fileless malware) et les identifiants dérobés.
Règle d'or en investigation numérique
- NE REDÉMARREZ PAS la machine.
- N'ÉTEIGNEZ PAS la machine.
- DÉBRANCHEZ LE CÂBLE RÉSEAU (ou désactivez le Wi-Fi) pour stopper la propagation latérale tout en maintenant la machine sous tension.
2. Respecter l'ordre de volatilité (RFC 3227)
La méthodologie forensique répond à un ordre strict de collecte, dicté par la rapidité avec laquelle les informations s'altèrent :
Registres processeur, cache CPU, mémoire RAM
Disparaissent dès la moindre coupure d'énergie. Doivent faire l'objet d'un dump mémoire brut (via des outils forensiques spécialisés comme WinPmem ou LiME).
Tables de routage, connexions réseau actives, processus en cours
État du réseau au moment précis de l'incident (adresses IP distantes de commande et contrôle - C2).
Stockage persistant (disques durs SSD / HDD, journaux d'événements)
Fichiers systèmes, journaux Windows Event Logs, bases de données, artefacts de prélecture (Prefetch), logs Web.
3. La chaîne de conservation (Chain of Custody)
Pour qu'un élément de preuve numérique conserve une valeur probante devant un tribunal, auprès d'un assureur ou des autorités judiciaires (telles que l'ANTIC au Cameroun ou la police judiciaire), il doit être juridiquement irréprochable.
La chaîne de conservation documente chaque étape de la manipulation d'une pièce à conviction :
- Qui a collecté la preuve : Nom, fonction et signature de l'investigateur.
- Quand et où : Horodatage précis (date, heure locale et UTC) et localisation physique de l'équipement.
- Comment : Outils logiciels et matériels utilisés (bloqueur d'écriture matériel - write blocker pour les disques).
- L'intégrité cryptographique : Calcul systématique d'une empreinte de hachage (SHA-256) immédiatement après la copie bit-à-bit, prouvant que l'image analysée est strictement identique à l'original.
- Travail exclusif sur copie : L'analyse ne se fait JAMAIS sur le support d'origine, mais uniquement sur une copie forensique vérifiée.
4. Reconstitution chronologique (Timeline) et RETEX
L'objectif final de l'investigation numérique n'est pas uniquement de constater les dégâts, mais de répondre avec certitude à quatre questions fondamentales pour la gouvernance :
Le 'Patient Zéro'
Quel a été le vecteur d'entrée initial ? (ex: pièce jointe malveillante ouverte par la comptabilité, accès RDP exposé sans MFA sur Internet).
Le temps de séjour (Dwell Time)
Depuis combien de jours ou de mois l'attaquant était-il présent sur le réseau avant de déclencher sa charge virale ?
L'exfiltration de données
Y a-t-il eu vol de fichiers confidentiels (double extorsion) ? Quels volumes et quels types d'informations ont été transmis vers l'extérieur ?
Le plan de remédiation durable
Quels verrous techniques et organisationnels doivent être scellés pour s'assurer que la même faille ne sera pas exploitée à nouveau demain ?
Conseil pratique d'investigation
- Centralisez vos journaux d'événements hors des serveurs de production : les attaquants effacent systématiquement les logs locaux avant de partir.
- Tenez un registre manuscrit de toutes les actions accomplies pendant la crise avec horodatage strict.
- Consignez le rapport de retour d'expérience (RETEX) comme document fondateur de la future politique de sécurité.
Références & Sources vérifiables
Poursuivre la lecture
Données personnelles au Cameroun (Loi n° 2024/017) : 4 mois après l'échéance légale, où en sont les entreprises ?
Depuis le 23 juin 2026, protéger les données personnelles est une obligation légale impérative au Cameroun : le sursis de 18 mois accordé par la Loi n° 2024/017 du 23 décembre 2024 est forclos. Quatre mois plus tard, la majorité des organisations ignorent encore l'étendue exacte de leurs données. Cet article analyse les exigences du texte, fournit 5 questions sans concession pour les comités de direction et trace une démarche opérationnelle en 4 étapes pour sécuriser son patrimoine informationnel.
La cybersécurité des PME camerounaises : un risque informatique ou un risque business ?
Longtemps perçue en Afrique centrale comme une préoccupation réservée aux multinationales et aux établissements bancaires, la sécurité des systèmes d'information s'impose désormais comme un impératif de survie pour les PME. Cet article analyse les mécanismes par lesquels un incident technique se transforme en crise de solvabilité et propose une feuille de route pragmatique à budget maîtrisé.