Cloud Forensics General

Définition

La forensique cloud est la discipline qui adapte les principes et méthodes de la forensique numérique traditionnelle aux environnements de cloud computing (IaaS, PaaS, SaaS). Elle présente des défis uniques par rapport à la forensique conventionnelle : contrôle limité sur l'infrastructure physique, données distribuées sur plusieurs régions géographiques, nature éphémère des ressources (instances auto-scalées), et dépendance aux logs fournis par le provider cloud. Les trois grands fournisseurs cloud (AWS, Azure, GCP) proposent des services de journalisation natifs qui constituent les sources forensiques principales. AWS CloudTrail enregistre tous les appels API AWS (création d'instances, accès S3, modification IAM), VPC Flow Logs capture le trafic réseau des VPCs, et GuardDuty fournit une détection des menaces native. Azure Monitor / Activity Logs journalisent les opérations Azure ARM (création/suppression de ressources), Azure AD Sign-in Logs tracent les authentifications, et Microsoft Defender for Cloud propose des alertes de sécurité. GCP Cloud Audit Logs couvrent les accès Admin Activity et Data Access. L'acquisition forensique de preuves cloud diffère fondamentalement de la forensique traditionnelle. Il est impossible d'obtenir une image disque bit-à-bit d'un serveur cloud (le tenant ne contrôle pas le hardware). À la place, l'investigateur travaille avec des snapshots de volumes EBS (AWS), des copies de disques gérés (Azure), ou des exports de VM (GCP). Ces snapshots peuvent être créés sans arrêter l'instance, permettant une acquisition sans interruption de service. Les logs API et les journaux d'authentification sont collectés via les APIs des providers, souvent avec des délais de rétention limités (90 jours par défaut pour CloudTrail) nécessitant un archivage proactif. Les défis juridictionnels et légaux de la forensique cloud sont significatifs. Les données peuvent être physiquement stockées dans plusieurs pays simultanément. L'obtention de preuves via réquisition judiciaire implique de naviguer dans les politiques de réponse aux demandes légales de chaque provider (MLAT, Law Enforcement Request guidelines).