Network Flow Analysis Forensics

Définition

L'analyse des flux réseau (Network Flow Analysis) est une approche forensique basée sur l'analyse des métadonnées des communications réseau (sans capturer le contenu complet des paquets) pour détecter des activités malveillantes, reconstruire des connexions suspectes, et cartographier des mouvements latéraux. Les protocoles de flow principaux sont NetFlow (Cisco), IPFIX (standard IETF), sFlow (sampling), et J-Flow (Juniper). Contrairement à la Full Packet Capture (FPC) qui stocke l'intégralité des paquets, l'analyse de flux ne conserve que les métadonnées de chaque conversation réseau : adresses IP source et destination, ports, protocole, volume de données échangé, timestamps de début et fin, et quelques compteurs additionnels. Ces métadonnées sont beaucoup plus légères que les PCAP (environ 1/1000ème du volume), permettant une rétention beaucoup plus longue (semaines ou mois vs heures pour la FPC). Les cas d'usage forensiques de l'analyse de flux incluent : la détection de communications C2 par leur volume et rythme (beaconing), l'identification de mouvements latéraux (pattern de connexions depuis un poste vers de nombreux autres postes sur des ports d'administration), la détection d'exfiltrations de données (volume sortant anormalement élevé depuis un serveur interne), et la cartographie des communications pour comprendre la progression d'un attaquant dans le réseau. L'outil SiLK (System for Internet-Level Knowledge, développé par CERT/CC) est une suite d'outils open source pour l'analyse de flux à grande échelle. Il permet des requêtes complexes sur des archives de flux : rwfilter (filtrer les flux), rwsort (trier), rwuniq (dédupliquer et agréger), rwcount (compter par période). Ces outils s'enchaînent via des pipelines Unix pour des analyses complexes. NFDump/NfSen est une autre suite populaire pour la collecte et l'analyse de NetFlow/IPFIX. Elasticsearch + Filebeat avec des dashboards Kibana est souvent utilisé pour la visualisation des données de flux. Arkime offre aussi une vue flow en complément de la FPC.