L'analyse forensique numérique étudie les événements survenus après un incident de sécurité. Les enquêteurs collectent les preuves sur les disques, la mémoire, les journaux réseau et les appareils mobiles. Ils les préservent soigneusement afin qu'elles soient recevables devant un tribunal. Ce travail est à la fois technique et procédural. Une seule erreur de manipulation peut rendre une preuve irrecevable. La chaîne de traçabilité, les protections en écriture et la vérification des hachages sont des pratiques courantes.

L'enquête permet de répondre à des questions. Comment l'attaquant a-t-il pénétré le système ? À quoi a-t-il accédé ? Combien de temps est-il resté infiltré ? A-t-il exfiltré des données ? Les réponses orientent la riposte et la stratégie juridique. L'analyse forensique contribue également à la gestion des incidents. Comprendre l'attaque permet de la contenir et d'éviter qu'elle ne se reproduise. Les outils vont des suites commerciales comme EnCase et FTK aux solutions open source telles qu'Autopsy et Volatility. L'analyse forensique de la mémoire est particulièrement précieuse, car les logiciels malveillants résident souvent uniquement dans la RAM et ne laissent aucune trace sur le disque dur. L'analyse forensique mobile constitue une spécialité à part entière, complexifiée par le chiffrement des appareils et les sauvegardes dans le cloud. Ce domaine est en constante évolution. De nouveaux appareils, de nouveaux systèmes d'exploitation et de nouveaux schémas de chiffrement créent de nouveaux défis. Les enquêteurs s'adaptent.

Sources de preuves médico-légales

• Images disque — fichiers, données supprimées et artefacts
• Vidages mémoire — processus en cours d'exécution et logiciels malveillants dans la RAM
• Journaux réseau — modèles de trafic et connexions
• Appareils mobiles — messages, applications et données de localisation

La police scientifique ne se limite pas à l'arrestation des criminels. Il s'agit de comprendre ce qui s'est passé afin que cela ne se reproduise plus.