À retenir
- Préserver l'intégrité : la preuve ne doit jamais être modifiée durant l'analyse.
- Chaîne de possession : il faut documenter précisément qui a manipulé l'appareil et quand.
- Récupération : l'investigation permet souvent de retrouver des données que l'utilisateur pensait avoir définitivement effacées.
L'investigation informatique est une méthode d'enquête scientifique consistant à fouiller des appareils numériques (ordinateurs, serveurs, téléphones) pour y débusquer des indices ou des preuves de comportements suspects. Imaginez un détective muni d'une loupe numérique qui, au lieu de chercher des empreintes digitales sur une porte, traque des traces de fichiers supprimés ou des historiques de connexion cachés pour reconstituer un événement passé.
Étymologie
Le mot provient de l'association du terme « investigation » (du latin investigatio, l'action de suivre à la trace) et de l'informatique. Dans le milieu professionnel, on utilise souvent l'anglicisme Digital Forensics (ou informatique légale), le mot forensics désignant ce qui est lié à la justice et aux tribunaux.
Exemples d'usage
- Analyse du disque dur d'un employé suspecté d'avoir volé des secrets industriels avant de démissionner.
- Recherche de traces de passage d'un pirate informatique dans les journaux système (logs) d'un serveur après un vol de données bancaires.
- Récupération de messages effacés sur un smartphone dans le cadre d'une enquête judiciaire.
Cas d'usage
Ce concept intervient principalement dans la cybersécurité pour comprendre l'origine d'une faille, dans le droit pénal pour fournir des preuves tangibles devant un juge, et dans le milieu des assurances pour vérifier les circonstances d'un sinistre numérique.
Bonnes pratiques
La règle d'or est de ne jamais travailler sur l'appareil original pour éviter de modifier involontairement les données (ce qui annulerait la valeur légale de la preuve). On utilise un « bloqueur d'écriture » pour créer une copie bit par bit (image disque) identique à l'original, sur laquelle l'analyse sera effectuée.
Synonymes
Antonymes
Conseil
Si vous vous intéressez à ce domaine, commencez par apprendre le fonctionnement des systèmes de fichiers (NTFS, FAT32, ext4). Comprendre comment un ordinateur stocke physiquement les zéros et les uns est indispensable pour savoir où chercher les traces cachées.
Questions fréquentes
Peut-on vraiment tout retrouver, même si les fichiers sont supprimés ?
Pas toujours, mais souvent oui. Lorsqu'on supprime un fichier, l'ordinateur se contente souvent d'indiquer que l'espace est libre, sans effacer physiquement les données immédiatement.
Est-ce réservé à la police ?
Non, des entreprises privées spécialisées réalisent des investigations pour des audits internes ou des litiges commerciaux.
Quelle est la différence entre investigation et cybersécurité ?
La cybersécurité vise à protéger et prévenir les attaques ; l'investigation intervient après l'incident pour comprendre ce qui s'est passé.