Slack Forensics

Définition

La forensique Slack couvre l'extraction et l'analyse des données de la plateforme de messagerie collaborative Slack dans le cadre d'investigations forensiques : litiges, investigations de menaces internes, violations de données, ou investigations de cybercriminalité. Slack contient souvent des informations forensiquement précieuses : communications d'équipe, transferts de fichiers, intégrations avec d'autres systèmes, et métadonnées de comportement. L'accès aux données Slack dépend du plan de l'organisation et des autorisations disponibles. Pour les plans Slack Free et Pro, les historiques de messages sont conservés mais l'accès est limité. Les plans Slack Business+ et Enterprise Grid fournissent des fonctionnalités d'eDiscovery et de conformité : les administrateurs peuvent exporter l'historique complet des messages (DM inclus avec le plan Enterprise), les fichiers partagés, et les logs d'audit. Slack Enterprise Grid propose un Audit Logs API qui journalise toutes les actions administratives et de conformité : connexions (avec IP et user agent), téléchargements de fichiers, modifications des paramètres d'espace de travail, ajouts/suppressions de membres. Ces logs sont essentiels pour détecter des exfiltrations de données (téléchargements en masse de fichiers) ou des accès non autorisés (connexions depuis des IPs suspectes). L'exportation des données Slack pour investigation peut être réalisée via l'interface d'administration (Admin Center > Workspace Settings > Import/Export Data) pour les messages de canaux publics (sans plan Enterprise). Pour les DM et canaux privés, une réquisition légale à Slack est nécessaire (Slack Law Enforcement Guidelines). Slack répond aux demandes légales valides et fournit les données dans des formats JSON structurés. Les données exportées Slack sont au format JSON : chaque canal a un fichier JSON par jour avec tous les messages, leurs timestamps (epoch Unix), identifiants utilisateurs, et identifiants de fichiers joints. L'analyse de ces exports peut être automatisée avec des scripts Python ou des outils forensiques supportant le format Slack (Magnet AXIOM, Cellebrite).