Network Baseline Forensics

Définition

L'établissement et l'utilisation de baselines réseau en forensique consiste à comparer le trafic réseau observé lors d'un incident avec le comportement réseau normal de l'environnement pour identifier les anomalies. Sans baseline, distinguer les communications légitimes des communications malveillantes dans des volumes importants de trafic est extrêmement difficile. La baseline est la référence permettant de définir ce qui est normal. Une baseline réseau documente : les débits habituels (volumétrie en heures de pointe et creuses), les protocoles utilisés et leurs proportions (HTTP/HTTPS, DNS, SMB, RDP, SSH — leurs ratios sont caractéristiques d'un réseau), les services internes actifs et les ports correspondants, les communications régulières inter-segments (entre DMZ et LAN, entre bureaux distants), les IPs et domaines externes régulièrement contactés (CDNs, SaaS utilisés), et les patterns temporels (pics d'activité, silence nocturne). Lors d'une investigation forensique, la comparaison avec la baseline révèle immédiatement les anomalies : un protocole inhabituel (IRC, Tor), un volume de données sortant atypique (exfiltration), des communications vers des plages IP nouvelles ou des domaines jamais vus, un beaconing régulier vers une IP externe pendant les heures creuses. Ces anomalies guident la priorisation de l'investigation. Les outils de détection d'anomalies réseau utilisent les baselines automatiquement : Zeek (scripts Zeek d'analyse comportementale), SiLK (statistiques réseau), et les solutions NDR commerciales (Darktrace, Vectra AI, ExtraHop Reveal(x)) construisent automatiquement des modèles de comportement normal et alertent sur les déviations. Ces modèles sont particulièrement utiles pour les attaques Living-off-the-Land qui utilisent du trafic légitime mais en volumes ou patterns anormaux.