Network Forensics (Forensique réseau)

Définition

La forensique réseau (network forensics) est la branche de l'investigation numérique dédiée à la capture, l'enregistrement et l'analyse du trafic réseau dans le but de reconstituer des activités malveillantes, détecter des exfiltrations de données, ou identifier les communications d'un malware. Les deux approches principales sont la capture complète (full packet capture) avec des sondes comme ntopng, Security Onion ou Arkime (anciennement Moloch), et l'analyse de métadonnées de flux (NetFlow/IPFIX) moins consommatrice en espace mais sans contenu. Wireshark et tshark sont les outils d'analyse de captures PCAP les plus répandus. L'analyse forensique réseau cherche à identifier des connexions C2 (beacon timing, domaines DGA), des exfiltrations (volumes anormaux vers des IPs externes), du mouvement latéral (scans, connexions SMB/RDP internes), et des IoCs réseau (hash JA3/JA3S pour les empreintes TLS, HASSH pour SSH). NetworkMiner facilite l'extraction de fichiers et credentials depuis des captures. La corrélation avec les logs firewall, proxy et DNS est essentielle pour une reconstruction complète de l'incident.