Docker Container Forensics

Définition

La forensique des conteneurs Docker est une spécialité forensique émergente répondant à la généralisation des architectures microservices et cloud-native. Elle couvre l'acquisition de preuves depuis des environnements conteneurisés : logs de conteneurs, images Docker, réseaux overlay, et la corrélation avec les logs du système hôte. Un conteneur Docker est une instance d'une image Docker s'exécutant dans un espace de noms Linux isolé (namespace : PID, réseau, montages, UTS, IPC) avec un système de fichiers en couches (Union File System : overlayfs2). Cette architecture crée des défis forensiques spécifiques : les données d'un conteneur sont éphémères par défaut (supprimées à l'arrêt si non persistées via des volumes), les logs sont gérés différemment du système hôte, et l'image sous-jacente influence profondément le comportement du conteneur. Pour l'investigation forensique d'un conteneur suspect : docker inspect [container_id] révèle la configuration complète du conteneur (image de base, variables d'environnement — potentiellement sensibles, volumes montés, réseau, commande exécutée). docker logs [container_id] affiche la sortie stdout/stderr du conteneur depuis son démarrage. docker diff [container_id] liste tous les fichiers modifiés dans le système de fichiers du conteneur par rapport à l'image de base, révélant les fichiers créés ou modifiés par l'attaquant. docker history [image] montre les couches de l'image Docker avec les commandes Dockerfile qui les ont créées. L'acquisition des couches système de fichiers d'un conteneur est réalisable avec docker export [container_id] > container.tar (export du système de fichiers complet du conteneur) ou docker save [image] > image.tar (export de l'image avec toutes ses couches). Ces archives tar peuvent ensuite être analysées avec des outils forensiques standard. Pour les clusters Kubernetes, l'investigation s'étend aux logs du plan de contrôle (API server audit logs, etcd logs), aux events Kubernetes (kubectl get events -A), et aux logs de chaque pod dans tous les namespaces.