SaaS Forensics Investigation

Définition

La forensique SaaS (Software as a Service) est la discipline émergente d'investigation numérique appliquée aux applications cloud hébergées par des tiers : Salesforce, ServiceNow, HubSpot, Dropbox, Box, GitHub Enterprise, et des dizaines d'autres plateformes sur lesquelles les organisations stockent des données critiques et sensibles. La complexité forensique principale est que l'investigateur n'a pas accès direct aux serveurs ou aux logs de bas niveau — tout passe par des APIs et des interfaces d'administration. Chaque plateforme SaaS implémente ses propres mécanismes de journalisation et ses propres interfaces forensiques. Salesforce fournit les Audit Trail (historique des connexions, modifications de données, changements de configuration), les Event Log Files via l'API REST (activités granulaires des utilisateurs), et les Setup Audit Trail (modifications de configuration de l'org). Dropbox Business fournit les Activity Logs via l'API Dropbox for Teams. GitHub Enterprise offre les Audit Logs via l'API GraphQL avec les événements d'accès, push, et modifications d'organisation. Les cas d'usage forensiques SaaS incluent : la détection d'exfiltration de données (un utilisateur qui télécharge massivement des fichiers depuis Dropbox ou Box avant une démission), les prises de contrôle de compte (accès depuis des IPs ou localisations inhabituelles dans les logs d'authentification), les modifications non autorisées de configurations (changements de permissions dans Salesforce), et les violations de données impliquant des intégrations OAuth (une application tierce avec accès excessif compromettant des données SaaS). Les défis forensiques SaaS sont nombreux. La rétention des logs est souvent limitée (30-90 jours dans les plans standard), imposant une réaction rapide pour préserver les preuves avant expiration. L'accès aux logs nécessite des droits d'administrateur sur la plateforme. Les données stockées dans les SaaS sont sous juridiction du fournisseur et accessibles via réquisitions légales, avec des délais variables selon les fournisseurs.