Préserve intégrité, provenance et chronologie des preuves

L’idée reçue

« Calculer un hash transforme un fichier en preuve forensique recevable. »

Le hash aide à vérifier l’intégrité. Il ne démontre ni la qualité de l’acquisition, ni une chaîne de custody légale, ni l’admissibilité.

01Observe le manifeste créé au setup

cat "$lab/.source-manifest.sha256"

Le manifeste couvre les 16 fixtures copiées dans source/ avant toute transformation.

02Vérifie avant de travailler

Le lab exécute :

sha256sum -c "$lab/.source-manifest.sha256"

Si un fichier source change, run et validate doivent échouer.

03Distingue PRESERVED et DERIVED

column -s, -t "$lab/output/evidence-register.csv"

Le registre sépare :

PRESERVED → artefact source du corpus
DERIVED   → correlation.csv, timeline.csv, hypothesis-status.csv

Un fichier dérivé facilite l’analyse mais ne remplace pas l’original.

04Conserve la provenance

Une référence telle que :

events/host-events.csv#EV-H001

permet de retrouver l’élément source associé à EVID-H001. Le hash porte sur l’artefact source complet dans ce lab.

05Traite l’horloge comme une qualité de preuve

cat "$lab/source/timeline/clock-notes.csv"

La timeline peut être triée techniquement tout en indiquant qu’une source UNTRUSTED ne permet pas d’établir un ordre strict indépendant.

06Teste une altération

La famille négative :

source-sha256-mismatch → BLOCKED

copie les sources dans work/negative/, modifie cette copie puis vérifie que le manifeste d’origine ne correspond plus. Les fixtures positives restent intactes.

07Cadre correctement NIST SP 800-86

NIST SP 800-86 est une publication officielle de 2006 orientée intégration de techniques forensiques dans l’incident response du point de vue IT. Elle précise elle-même qu’elle n’est ni une procédure exhaustive ni un avis juridique.

Dans ce cours, elle sert à renforcer les principes :

préserver
identifier la source
tracer les transformations
limiter les conclusions

08Écris la limite de preuve

Le lab ne prétend pas réaliser :

forensic imaging
memory acquisition
legal chain of custody
admissibility
real endpoint collection

Livrable

Produis une fiche de provenance

Pour EVID-H001, indique source_ref, heure de collecte représentée, collecteur, hash, statut PRESERVED et limite de preuve. Explique pourquoi la timeline est DERIVED.

✓À retenir

Intégrité, provenance et chronologie rendent l’analyse vérifiable. Elles n’autorisent pas à transformer un exercice synthétique en preuve judiciaire.