L’investigation numérique sur un poste Windows repose sur un petit nombre de sources, dont la richesse dépasse largement leur discrétion apparente. Je note ici les principaux artefacts à interroger, à mesure que je les rencontre.
Le système de fichiers : la MFT
La Master File Table (MFT) de NTFS recense chaque fichier et répertoire du volume, jusqu’aux entrées supprimées dont les métadonnées subsistent souvent après suppression. Son extraction, par exemple avec ftkimager, est l’un des premiers gestes d’une investigation disque : elle offre une vue exhaustive de ce qui a existé sur le système, indépendamment de ce que l’explorateur de fichiers montre encore.
Les artefacts d’exécution et de configuration
Au-delà du système de fichiers, plusieurs journaux et structures Windows renseignent sur l’activité passée du poste :
- les journaux d’événements (Windows Event Logs), qui consignent connexions, erreurs, actions systèmes et applicatives ;
- les services, dont la liste et l’historique de démarrage trahissent une éventuelle persistance malveillante ;
- les fichiers prefetch, que Windows génère pour accélérer le lancement des applications et qui, de ce fait, prouvent qu’un exécutable a bien été lancé, à quelle date, et combien de fois ;
- le registre, enfin, dont l’exploration systématique (clés
Run, historiques USB, réseaux connus) reste l’un des exercices les plus riches — et les plus vastes — du forensic Windows.
Analyser la mémoire vive
Le disque ne dit pas tout : une part croissante de l’activité — processus injectés, malware sans fichier, clés de déchiffrement en clair — ne se lit que dans la RAM. On en capture l’état à l’instant par un dump mémoire, avec un outil comme ftkimager, avant de l’analyser avec Volatility :
volatility -f ./0C-002-memdump.mem windows.infoCette seule commande d’introspection révèle déjà la version du système et l’offset du profil, prérequis à toute analyse plus poussée (liste des processus, connexions réseau actives, injections en mémoire). C’est l’un des rares moyens de saisir un système dans son état vivant, plutôt que dans la trace qu’il laisse une fois éteint — ce qui en fait un complément indispensable à l’analyse du disque, développée dans le cas pratique qui suit.