EDR Forensics

Définition

L'EDR (Endpoint Detection and Response) forensique designe l'utilisation de la telemetrie et des donnees collectees par les solutions EDR commerciales dans le cadre d'investigations forensiques. Les agents EDR installes sur les endpoints collectent en continu une grande quantite d'evenements de securite (processus, fichiers, reseau, registre) et les envoient vers une plateforme cloud pour l'analyse, l'alerting et la chasse aux menaces. Cette telemetrie constitute une source de donnees forensiques de premiere importance lors d'incidents de securite. Les solutions EDR leaders (CrowdStrike Falcon, Microsoft Defender for Endpoint/MDE, SentinelOne, Carbon Black, Palo Alto Cortex XDR) ont des approches similaires : un agent legers installe sur chaque endpoint capture les evenements en temps reel avec une haute fidelite, incluant la creation de processus avec les commandes completes, les acces aux fichiers, les connexions reseau, les modifications du registre, et les charges memoire. Ces evenements sont timestampes precisement et correles par l'EDR pour identifier les sequences d'attaque (kill chains). La valeur forensique de l'EDR est multiple. Premierement, la telemetrie historique : la plupart des EDR conservent 30 a 90 jours d'historique detaille, permettant aux investigateurs de remonter le temps bien avant la detection d'un incident. Deuxiemement, le process tree complet : les EDR etablissent les relations parent-enfant entre processus avec une precision qui surpasse les Event Logs natifs. Troisiemement, les artefacts memoire : certains EDR capturent des informations sur les injections de code et les techniques d'evasion en memoire. Quatriemement, la couverture multi-endpoint : un seul investigateur peut interroger tous les endpoints d'une organisation simultanement. Pour les investigations DFIR, les capacites de threat hunting des EDR (requetes live sur tous les endpoints, recherche d'IOCs sur tout le parc en quelques minutes) accelerent massivement l'investigation et permettent d'identifier immediatement toutes les machines touchees par un meme attaquant ou un meme malware.