Procédure de collecte et vérification des données système
Le Groupe d'Intervention Cyber (GIC) intervient sur l'ensemble des emprises connectées à Intradef. Pour éviter toute improvisation en situation d'urgence, l'unité s'appuie sur des modes opératoires (MODOP) très cadrés : chaque acte technique dispose de sa procédure pas à pas. Cette approche garantit une réponse uniforme et reproductible, quel que soit l'opérateur projeté sur le terrain, tout en limitant drastiquement le risque d'erreur sous la pression d'une crise.
Pendant longtemps, le rôle des équipes en déplacement se résumait principalement à l'acquisition brute (capturer des images disques et de la mémoire) avant de rapatrier les données pour analyse approfondie. Mais face à la multiplication des alertes, le GIC réalise désormais une primoanalyse directement sur place pour qualifier la menace en quelques dizaines de minutes et orienter immédiatement la prise de décision.
Ce changement de doctrine a rendu nécessaire la formalisation de nouveaux MODOPs, afin d'encadrer ces méthodes de triage rapide et de les diffuser à l'ensemble du personnel d'astreinte.
Dans ce cadre, j'ai été chargé de rédiger le mode opératoire de primoanalyse des données système, reposant sur l'outil DFIR-ORC dans sa configuration MEDIUM. Le document que j'ai produit détaille l'intégralité du protocole : préparation du support d'intervention, exécution de la collecte, contrôle d'intégrité de l'archive produite et restitution des premiers éléments de diagnostic.
Comme la primoanalyse couvre plusieurs volets complémentaires (réseau, mémoire vive, système), d'autres agents travaillaient sur les autres domaines. Pour ma part, je me suis concentré exclusivement sur le périmètre système Windows.
DFIR-ORC est un outil open source développé par l'ANSSI, taillé pour automatiser la collecte d'artefacts sous Windows (journaux EVTX, Prefetch, ruches de registre, clés de persistance, services). Il rassemble l'ensemble des traces dans une archive structurée directement exploitable par les analystes.
Le profil MEDIUM retenu dans ce mode opératoire offre le juste équilibre pour le terrain : il récupère un volume d'artefacts suffisant pour poser un diagnostic solide, tout en maintenant un temps d'exécution très court pour ne pas bloquer l'opérateur pendant des heures devant la machine cible.
Le mode opératoire opérationnel complet étant classé Diffusion Restreinte, cet article ne reprend volontairement que la démarche méthodologique et les principes déclassifiés.