Investigation Numérique — DFIR

L'investigation numérique (ou forensique informatique) est le processus de collecte, préservation et analyse de preuves numériques à des fins juridiques ou sécuritaires. Vous en avez besoin dès qu'un incident implique des données numériques : vol de données, intrusion, fraude, sabotage, concurrence déloyale. Plus vous intervenez tôt, plus les preuves sont exploitables — certaines disparaissent en quelques heures (mémoire vive, journaux temporaires).

Oui, à condition de respecter des règles strictes : chaîne de custody ininterrompue, intégrité des données prouvée par hash cryptographique, collecte proportionnée et loyale, rapport rédigé par un expert compétent. En tant qu'expert judiciaire inscrit près la Cour d'Appel de Paris, nos rapports ont une force probante reconnue par les juridictions civiles et pénales françaises.

La durée dépend de la complexité du cas et du volume de données. Un cas simple (un seul poste, vol de données) se résout en 5 à 10 jours. Un cas complexe (compromission d'un parc de 200 postes, APT) peut nécessiter 3 à 6 semaines. La phase de collecte est toujours prioritaire et démarre dans les heures suivant votre appel pour préserver les preuves volatiles.

Règle numéro un : ne touchez à rien. N'éteignez pas le poste, ne parcourez pas les fichiers, ne faites pas de copie vous-même — chaque manipulation non contrôlée peut détruire des preuves ou les rendre irrecevables. Contactez-nous immédiatement et consultez votre avocat. Nous procéderons à une collecte légale dans les règles, en coordination avec votre conseil juridique, pour constituer un dossier solide.

La chaîne de custody (chain of custody) est la documentation ininterrompue de chaque manipulation d'une preuve numérique : qui l'a collectée, quand, comment, où elle a été stockée, qui y a accédé. Elle garantit que la preuve n'a pas été altérée entre la collecte et la présentation au tribunal. Sans chaîne de custody valide, la partie adverse peut contester l'intégrité des preuves et obtenir leur rejet.

Dans la plupart des cas, oui. Lorsqu'un fichier est « supprimé », seule la référence dans la table d'allocation est effacée — les données restent physiquement sur le disque jusqu'à ce que l'espace soit réutilisé. Avec des outils comme Autopsy et FTK, nous pouvons récupérer des fichiers supprimés, même après vidage de la corbeille. Sur les SSD, la situation est plus complexe en raison du TRIM, mais des artefacts restent souvent exploitables dans les métadonnées du système de fichiers.

La réponse à incident vise à contenir et éradiquer une menace active le plus rapidement possible pour restaurer les opérations. L'investigation numérique se concentre sur la compréhension détaillée de ce qui s'est passé et la constitution de preuves recevables. Les deux sont souvent complémentaires : nous proposons les deux services et savons gérer la tension entre « restaurer vite » et « préserver les preuves ».

Oui, nous intervenons sur l'ensemble du territoire français et à l'international. Pour les cas urgents, la collecte à distance est possible via des outils comme Velociraptor ou KAPE, déployés en quelques minutes. Pour les collectes nécessitant un déplacement physique (scellement de disques, constat d'huissier), nous nous déplaçons sous 24h partout en France métropolitaine.