Chaîne de Custody (Chain of Custody)

Principe et cadre normatif

La chaîne de custody matérialise le principe de continuité de la preuve : à chaque instant, on doit pouvoir démontrer qui détenait l'élément, où il était conservé et quelles opérations lui ont été appliquées. Les normes ISO/IEC 27037 (identification, collecte, acquisition, préservation), 27041 (assurance des méthodes), 27042 (analyse et interprétation) et 27043 (processus d'investigation), complétées par le NIST SP 800-86, en constituent le socle méthodologique. En droit français, les réquisitions techniques (art. 60 et 230-1 CPP) et le constat d'huissier assurent la valeur probante ; l'ordre de volatilité défini par la RFC 3227 dicte quant à lui la séquence de collecte.

Cycle de vie de la preuve

• Identification : inventaire horodaté, photographie de la scène, relevé des numéros de série et empreinte hash SHA-256 (et non plus MD5 seul, vulnérable aux collisions).
• Acquisition : copie bit-à-bit via write-blocker matériel, avec dc3dd, FTK Imager ou Guymager ; format E01 privilégié pour ses hash internes et sa vérification de segments. Sur système allumé, capture RAM préalable (WinPmem, LiME, AVML).
• Préservation : scellé numéroté inviolable, coffre à accès journalisé, sauvegarde redondante hors ligne.
• Transfert : formulaire signé mentionnant émetteur, destinataire, date, heure, motif et état du scellé.
• Analyse : toujours sur copie de travail montée en lecture seule, avec re-vérification du hash avant et après.
• Restitution ou destruction : documentée et conforme aux durées de conservation du RGPD.

Outils et automatisation

Les suites Autopsy, X-Ways, Magnet AXIOM ou Velociraptor génèrent des journaux d'audit exploitables comme pièces annexes. Les plateformes de gestion d'incident (TheHive, IRIS) tracent nativement les observables, et l'horodatage qualifié eIDAS ou un ancrage cryptographique renforcent l'opposabilité. Les télémétries EDR et SIEM doivent elles aussi être exportées avec empreinte et attestation d'extraction.

Erreurs fréquentes qui invalident une preuve

• Analyse directe sur le disque original, modifiant les horodatages MAC.
• Rupture documentaire : un maillon de transfert non signé suffit à fragiliser l'ensemble.
• Désynchronisation d'horloge entre sources, non corrigée par un référentiel UTC.
• Collecte par un intervenant non habilité ou sans procédure écrite opposable.

Bonnes pratiques opérationnelles

Formaliser un playbook de saisie avant l'incident, former les équipes SOC, préparer des kits de collecte scellés et pratiquer des exercices. En contexte ransomware, la pression de remédiation ne doit jamais primer sur la préservation : reconstruire avant de collecter détruit définitivement la preuve. La rigueur documentaire vaut, en DFIR, autant que l'expertise technique.