Incident Timeline Reconstruction

Définition

La reconstruction de timeline d'incident est l'une des taches les plus importantes et les plus complexes d'une investigation forensique. Elle consiste a corréler les artefacts forensiques de sources multiples pour etablir une sequence chronologique precise des evenements, depuis le vecteur d'entree initial jusqu'aux objectifs finaux de l'attaquant. Une timeline complete et precise est le fondement de tout rapport d'incident serieux. Les sources de timestamps exploitees dans une reconstruction de timeline d'incident incluent : les MAC times du systeme de fichiers (MFT NTFS, ext4 inodes), les Windows Event Logs (timestamps de chaque evenement), Sysmon logs, les logs d'applications (serveur web, base de donnees), les logs reseau (NetFlow, PCAP, proxy logs, DNS logs), les artefacts de registre (LastWriteTime de chaque cle), les prefetch files (timestamps d'execution), les journaux d'acces SSH (auth.log), et les logs des outils de securite (SIEM, EDR, AV). L'outil log2timeline/Plaso automatise la collecte des timestamps de toutes ces sources depuis une image forensique et les exporte dans un format unifie (L2tCSV, Timesketch) triee chronologiquement. Pour les investigations impliquant plusieurs systemes, Timesketch (Google) permet la collaboration sur des timelines multi-systemes dans une interface web avec des fonctions de recherche, d'annotation, et de partage. Les challenges de la reconstruction de timeline incluent : la synchronisation des horloges (les machines ont rarement des horloges parfaitement synchronisees — un drift de quelques minutes peut faire paralyser la correlation inter-systemes), les fuseaux horaires (convertir systématiquement tous les timestamps en UTC), les timestamps manipules (timestomping — identifier via les discordances SI vs FN NTFS), et les lacunes forensiques (absence de logs pour certaines periodes dues a la rotation ou a l'effacement delibere). La timeline doit presenter des evenements annotes : les evenements forensiques bruts sont completes par les observations de l'investigateur (ce evenement signifie que l'attaquant a fait X), permettant aux parties prenantes non-techniques de suivre la narration de l'attaque.