Volatile Data Collection Forensics

Définition

La collecte de données volatiles est l'une des premières priorités lors d'une investigation forensique sur un système en cours d'exécution. Les données volatiles — stockées uniquement en mémoire vive et perdues à l'arrêt ou au redémarrage — incluent les processus actifs, les connexions réseau établies, la mémoire RAM, les utilisateurs connectés, les clés de chiffrement en mémoire, et d'autres états transitoires du système. Leur collecte doit suivre l'ordre de volatilité (RFC 3227). L'ordre de collecte recommandé par la RFC 3227 et les bonnes pratiques DFIR suit la hiérarchie de volatilité décroissante : 1) Registres CPU et cache L1/L2 (nanosecondes), 2) Mémoire RAM (secondes à minutes), 3) État réseau (secondes à minutes — les connexions peuvent être interrompues), 4) État des processus en cours (minutes), 5) Contenu du disque temporaire (/tmp, pagefile), 6) Contenu des disques permanents (heures), 7) Sauvegardes (jours). Pour la collecte de données volatiles Windows, un kit First Responder (clé USB avec des outils statiquement compilés) permet de collecter : dump mémoire (WinPmem), état réseau (netstat -anb, arp -a, route print), liste des processus avec hashes (tasklist /fo csv, ou une version plus complète via PowerShell Get-Process), utilisateurs connectés (query user, net session), partages ouverts (net share), variables d'environnement (set), horloges système (date /t, time /t, net time), et artefacts de registre en mémoire (reg export). Chaque collecte est accompagnée d'un calcul de hash pour l'intégrité. Pour Linux, la collecte volatile utilise des scripts bash exécutés depuis une clé USB, collectant : mémoire (LiME/AVML), connexions réseau (ss -antp, /proc/net/tcp), processus (/proc/*/cmdline, /proc/*/exe), utilisateurs connectés (w, who, last), modules noyau (lsmod, /proc/modules), variables d'environnement, horloges (date, hwclock), et journaux récents en mémoire (journalctl -n 1000). L'ordre de collecte ne doit jamais être sacrifié pour la facilité. Redémarrer un système pour accéder plus facilement au système de fichiers est une faute grave qui détruit toutes les données volatiles.