Log Analysis Forensics (Analyse forensique des journaux système)

Définition

L'analyse forensique des logs est une discipline centrale de l'investigation numérique, visant à reconstituer la chronologie et les détails d'un incident de sécurité à partir des journaux système, applicatifs et réseau. Les sources de logs pertinentes dans un contexte Windows incluent les Event Logs (Security 4624/4625 authentifications, 4688 création de processus, 7045 installation de services), les logs PowerShell (avec Script Block Logging activé), le Prefetch et les clés de registre Run. Sur Linux, les logs /var/log/auth.log, /var/log/syslog, les journaux systemd (journalctl), et les historiques bash sont analysés. La timeline forensique corrèle toutes ces sources en une chronologie unifiée. Des outils comme Splunk, Elastic SIEM, Chainsaw (analyse rapide des Event Logs Windows), Hayabusa ou Log2Timeline (Plaso) facilitent l'analyse à grande échelle. L'intégrité des logs doit être préservée : les logs peuvent être altérés par un attaquant sophistiqué (log tampering), d'où l'importance de la centralisation vers un SIEM externe en temps réel.