Email Forensics Header Analysis

Définition

La forensique email analyse les messages électroniques pour identifier les expéditeurs réels (qui peuvent être dissimulés ou falsifiés), retracer le chemin de transmission, et détecter les indicateurs de phishing, de fraude, ou de communications malveillantes. L'analyse des en-têtes email (headers) est l'étape fondamentale car les headers contiennent les métadonnées de transmission révélant le parcours complet du message. Les en-têtes email les plus forensiquement pertinents incluent : From (expéditeur apparent, facilement falsifiable), Return-Path (adresse de rebond réelle, plus difficile à falsifier), Received (trace de chaque serveur qui a relayé le message, ajoutée de bas en haut — la plus ancienne en bas), DKIM-Signature (signature cryptographique qui authentifie le domaine expéditeur), SPF (Sender Policy Framework, résultat d'authentification), DMARC (Domain-based Message Authentication Reporting and Conformance), Message-ID (identifiant unique généré par le serveur émetteur), X-Originating-IP (IP du client original pour les webmails), et X-Mailer ou User-Agent (client email utilisé). La chaîne des en-têtes Received retrace le chemin du message. En lisant de bas en haut, on suit le message depuis le client SMTP original jusqu'au serveur de destination. L'IP du client SMTP original (dans le premier Received header, celui en bas) peut révéler l'emplacement géographique de l'expéditeur réel si l'email n'a pas été envoyé via un relai ou un VPN. L'authentification email (SPF, DKIM, DMARC) est la méthode moderne de vérification de légitimité des expéditeurs. SPF vérifie que l'IP d'envoi est autorisée par le domaine expéditeur, DKIM valide une signature cryptographique ajoutée à l'email, et DMARC définit la politique à appliquer en cas d'échec SPF ou DKIM. Les résultats d'authentification sont dans les headers Authentication-Results. L'analyse des pièces jointes malveillantes (malicious attachments) dans les emails de phishing est complémentaire à l'analyse des headers et est réalisée avec des outils comme OLETools (pour les documents Office), pdf-parser (pour les PDFs), et des sandboxes pour l'exécution sécurisée.