Live Acquisition

Définition

La Live Acquisition (acquisition à chaud ou acquisition en direct) est une technique forensique consistant à collecter des preuves numériques sur un système informatique pendant qu'il est en cours d'exécution, sans l'éteindre préalablement. Elle s'oppose à la Dead-Box Forensics (acquisition hors tension) et est devenue indispensable dans les investigations modernes, particulièrement face au chiffrement généralisé et à l'importance des artefacts volatils. La nécessité de la Live Acquisition est principalement motivée par les données volatiles, qui disparaissent définitivement à l'extinction du système. La mémoire vive (RAM) contient des informations précieuses : processus en cours d'exécution, connexions réseau actives, clés de chiffrement en clair (BitLocker, VeraCrypt, etc.), mots de passe en mémoire (via Mimikatz ou équivalent), malwares fileless n'existant qu'en mémoire, et tables de processus révélant les processus cachés par un rootkit. L'ordre de volatilité (Volatility Order) défini par RFC 3227 guide la séquence d'acquisition : registres CPU, cache ARP, table de routage, connexions réseau actives, processus actifs, mémoire vive, puis données disque. Cette séquence permet de capturer les informations les plus éphémères en premier. En pratique, les investigateurs commencent par un dump mémoire complet (WinPmem, DumpIt sous Windows ; LiME sous Linux) suivi d'une capture réseau, avant de procéder à l'image disque. Les défis de la Live Acquisition sont multiples. Chaque action sur le système vivant modifie son état : l'exécution d'un outil d'acquisition écrit des données en mémoire, modifie des statistiques système, et laisse des traces dans les journaux. Il faut minimiser cette empreinte en utilisant des outils portables lancés depuis un support externe (clé USB dédiée), documentant précisément chaque action effectuée. Le risque de contamination est réel : des malwares sophistiqués peuvent détecter et répondre aux outils forensiques (anti-forensics). Certains ransomwares déclenchent la destruction de données à la détection d'outils forensiques. L'ordre et la rapidité d'acquisition sont donc critiques. Les outils de Live Response dédiés comme Velociraptor, GRR Rapid Response, ou CrowdStrike Falcon permettent d'effectuer des acquisitions à distance sur de nombreux systèmes simultanément, sans déplacement physique.