Comprendre ce qui s’est passé
Une connexion inhabituelle, des fichiers disparus ou une chronologie à éclaircir : l’investigation numérique permet de rechercher des traces dans les appareils et les systèmes. Les informations sont comparées pour établir ce qui peut être confirmé.
Pare-feu et journaux de connexion
Les journaux des pare-feu — aussi appelés firewalls — peuvent être analysés avec ceux des postes, des serveurs et des applications. Connexions autorisées ou bloquées, adresses réseau, horaires et événements de sécurité sont rapprochés selon les informations conservées.
L’objectif est de comprendre les échanges observés et leur succession. Les différences d’horloge, les périodes manquantes et les limites des journaux sont prises en compte.
Ordinateurs, iPhone et supports de stockage
Les fichiers, les messages, les historiques et les traces d’utilisation accessibles sont examinés. Plusieurs sources peuvent être comparées pour vérifier un événement ou retrouver une information dans son contexte.
Données effacées
Des données supprimées peuvent être recherchées sur les supports et dans les copies ou sauvegardes disponibles. Les possibilités de récupération dépendent notamment du support, de son état, du chiffrement et des réécritures intervenues depuis l’effacement.
Les éléments récupérés sont distingués des fragments incomplets et des informations qui n’ont pas pu être retrouvées.
Géolocalisation et chronologie
Les données de localisation présentes dans les fichiers, les photographies, les applications ou les historiques accessibles peuvent être examinées. Leur origine, leur date et leur précision sont vérifiées avant de les rapprocher d’autres événements.
Un indice de localisation doit être interprété dans son contexte : il ne suffit pas, à lui seul, à établir la présence d’une personne en un lieu.
Un rapport qui explique les constats
Les faits observés, les hypothèses et les questions non résolues sont séparés. Les sources utilisées et les limites de l’analyse sont décrites pour que les conclusions puissent être comprises et vérifiées.
Une intervention définie selon le dossier
L’objectif de la recherche, les autorisations, les appareils disponibles et les conditions de confidentialité sont établis avant l’intervention. La préservation des sources est prise en compte dès la préparation de l’analyse.