Carnet d’investigation

Version du modèle : 3.0. Ce carnet est conçu pour une PME pouvant confier l’informatique et la surveillance à des prestataires. Il ne suppose ni une équipe forensique interne ni une disponibilité permanente. Le coordinateur interne reste responsable du dossier et des décisions métier ; le prestataire exécute et documente les tâches qui lui sont confiées.

Mode d’emploi. Les sections 1–6 donnent le fil opérationnel. Utiliser les responsabilités, contrôles de provenance et formulaires des sections 7–9 avant la collecte, puis les tenir à jour pendant l’enquête. La section 10 fournit l’exemple ; la section 11 sert à accepter la relève. Les approfondissements s’appliquent au moment de l’action concernée : leur position après le résumé ne signifie pas qu’il faut préparer la collecte après la clôture.

Type : carnet opérationnel à remplir. Dupliquez ce document pour chaque incident. Il organise les preuves, les hypothèses et les décisions sans remplacer votre politique de réponse ni une acquisition forensique spécialisée. Les champs entre crochets doivent être adaptés avant utilisation.

Approbation et périmètre

Le responsable d’incident décide des priorités. L’analyste documente les observations et leurs limites. Le dépositaire des preuves contrôle stockage et accès. Les propriétaires techniques valident les actions sur leurs systèmes. Le référent juridique ou protection des données détermine les règles de collecte, de conservation et de notification applicables.

1. Ouvrir le dossier

• ☐ Inscrire le signalement initial, son auteur et l’heure de réception avec fuseau.
• ☐ Décrire l’impact constaté, distinct de l’impact redouté.
• ☐ Fixer la question d’enquête : compte, terminal, flux ou opération à expliquer.
• ☐ Identifier les services concernés et leurs responsables.
• ☐ Consigner l’autorité permettant la collecte et les restrictions connues.
• ☐ Prévoir un prochain point de situation : [À RENSEIGNER : heure, participants].

Résumé initial à compléter : « Nous observons [À RENSEIGNER : fait vérifiable] sur [À RENSEIGNER : périmètre]. Nous cherchons à établir [À RENSEIGNER : question]. À ce stade, [À RENSEIGNER : incertitude principale] reste inconnu. » Évitez de qualifier une personne ou une intention sur la seule base d’une adresse IP.

2. Tenir le registre des éléments

Attribuez un identifiant stable à chaque pièce. Préservez l’original dans l’espace contrôlé ; travaillez sur une copie lorsque cela est possible. Une empreinte permet de contrôler la stabilité d’un fichier, pas de prouver à elle seule l’exactitude de son contenu ou l’identité de son auteur.

Pour chaque transfert, ajoutez expéditeur, destinataire, date, motif et contrôle d’intégrité. N’insérez pas de secrets dans le carnet : conservez seulement une référence vers leur stockage autorisé. Fixez la conservation et la suppression selon [À RENSEIGNER : règles internes, contraintes de préservation]. Vérifiez aussi les droits du dossier partagé et les accès des intervenants externes.

3. Construire la chronologie

Gardez séparément heure de l’événement, heure d’ingestion et heure d’observation. Notez le fuseau d’origine avant normalisation. Toute correction d’horloge doit rester explicite. Une absence de log peut traduire une absence de collecte, une expiration ou une panne.

4. Tester les hypothèses

Recherchez une explication autorisée et une observation indépendante. Distinguez « non trouvé dans les sources consultées » et « absent ». Révisez une conclusion si une nouvelle pièce la contredit ; conservez la conclusion précédente et la raison de son changement. Une corrélation temporelle seule ne démontre ni causalité ni attribution.

5. Enregistrer les décisions et leurs effets

Si l’urgence impose le confinement avant une collecte, écrivez quelles preuves deviennent indisponibles. Pour une mesure différée, indiquez le risque accepté, le responsable et le moment de réexamen. Une commande exécutée n’est pas une preuve suffisante que l’effet recherché a été obtenu.

6. Préparer la relève et la clôture

• ☐ Résumer faits établis, hypothèses ouvertes, impact et périmètre non couvert.
• ☐ Transmettre les pièces accessibles et la liste des restrictions.
• ☐ Lister actions en attente, propriétaires, échéances et critères d’escalade.
• ☐ Confirmer canal de coordination et prochaine relève.
• ☐ Faire reformuler les priorités par l’analyste entrant ; enregistrer l’acceptation.
• ☐ À la clôture, fixer surveillance résiduelle, corrections et propriétaire du suivi.
• ☐ Vérifier conservation, restrictions et suppression des copies temporaires autorisées.

Limites : ce carnet ne garantit pas la recevabilité judiciaire d’une preuve. Les investigations sur personnes, données sensibles ou systèmes critiques exigent des autorisations adaptées. Les délais de notification dépendent des obligations applicables ; faites-les déterminer par les responsables compétents.

Mise en service et contrôle du carnet

Avant le premier usage, le propriétaire du modèle vérifie que les intervenants peuvent ouvrir le dépôt de preuves, retrouver un événement source et utiliser le canal de relève. Un champ rempli sans référence vérifiable ne transforme pas une hypothèse en fait. Si une source manque, noter qui peut la fournir, la période encore récupérable et la décision rendue impossible. Les objectifs de suivi sont fixés localement, selon l’urgence et les moyens disponibles.

Le responsable relit la synthèse avant diffusion : chaque conclusion importante doit renvoyer à une pièce ou être explicitement présentée comme une hypothèse. Préparer une version restreinte si les destinataires n’ont pas besoin des détails personnels ou techniques. Toute correction conserve la référence de la version précédente, l’auteur et le motif. L’acceptation d’une relève transfère la conduite des actions convenues ; elle n’efface pas les incertitudes documentées.

7. Préparer un dossier réellement utilisable

Pour une organisation d’environ 80 personnes, désigner une personne interne capable de joindre les métiers, autoriser les dépenses prévues et arbitrer une interruption. Le prestataire informatique peut collecter les traces ; le MSSP peut analyser ses alertes. Aucun des deux ne doit être présumé propriétaire de toutes les données SaaS. Vérifier, service par service, qui possède les droits d’export et qui peut attester une action.

Avant collecte, compléter la fiche de périmètre : actifs, identités, services SaaS, télétravail, accès fournisseurs, période recherchée et exclusions. Ajouter l’emplacement réel des données, la capacité d’export, les conditions contractuelles et le propriétaire qui autorise l’accès. Les équipements personnels ou systèmes industriels exigent une décision spécifique ; ce carnet ne crée aucune autorisation d’y intervenir.

Si un contact manque, le coordinateur utilise le secours puis le circuit contractuel d’escalade. Il consigne tentatives, heure, conséquence et prochain rendez-vous. Une demande envoyée au fournisseur reste « demandée », pas « réalisée ». En attendant, le décideur interne peut faire limiter une activité par les moyens autorisés disponibles ; il doit aussi pouvoir accepter explicitement un risque temporaire documenté.

8. Maîtriser provenance, qualité et horloges

Pour chaque export, noter l’interface ou la requête, les paramètres temporels, le fuseau sélectionné, le filtrage et la pagination. Vérifier que la plage exportée correspond à la demande. Noter une limite de licence, un échantillonnage ou une troncature. Si le prestataire ne livre qu’une capture d’écran, préciser ce qu’elle montre et demander les événements sources quand ils sont nécessaires au raisonnement.

Séparer quatre états de qualité : trace native disponible, export documenté, observation indirecte, information rapportée. Ce classement est une proposition de travail, pas une échelle universelle de valeur probante. Un témoignage utile peut orienter une recherche sans devenir une preuve de connexion. Un outil de détection peut avoir normalisé une valeur ; conserver le lien vers sa source avant d’interpréter le champ.

Ne forcez pas un ordre précis entre deux événements si la précision ou le décalage d’horloge ne le permet pas. Écrivez « dans cette fenêtre » et conservez les deux possibilités. Le NIST SP 800-86 décrit notamment les différences d’horloge et de fuseau entre systèmes ; la marge retenue ici doit être justifiée par les observations locales, sans tolérance chiffrée universelle.

Une empreinte calculée après réception contrôle la stabilité de la copie reçue ; elle ne démontre pas à elle seule que le fournisseur a exporté toute la source. Demander son mode de collecte et préserver ses réponses. Toute conversion utile à l’analyse produit une copie identifiable ; ne remplacez pas silencieusement l’original. En cas de correction, conservez l’ancien fichier et expliquez pourquoi il est remplacé.

9. Formulaires complémentaires à dupliquer

Le registre des exceptions précise l’exigence non satisfaite, le motif, les risques et les protections compensatoires réellement disponibles. Le propriétaire métier ou l’autorité désignée accepte ou refuse ; l’analyste ne transforme pas un défaut de preuve en validation. Une expiration et un événement de réexamen sont obligatoires dans le modèle adopté, avec une durée choisie localement. L’expiration impose une nouvelle décision, pas une reconduction tacite.

10. Exemple complet, intégralement fictif

L’entreprise fictive Atelier-80 emploie 80 personnes et utilise une messagerie SaaS administrée par un prestataire. À 08:20 UTC, la comptabilité signale un transfert de messages non reconnu. La coordinatrice interne ouvre INC-EX-01 ; le prestataire collecte les traces, le MSSP n’ayant accès qu’aux alertes. Aucune personne, adresse ou opération décrite ici ne correspond à un incident réel.

La direction fictive accepte une restriction temporaire du compte malgré un retard de traitement des commandes. Décision EX-D1 : coordinatrice mandatée, exécution prestataire, effet vérifié sur la règle, contrôle des sessions encore ouvert. L’hypothèse « changement métier autorisé » reste possible tant que l’historique d’approbation n’est pas vérifié. La conclusion intermédiaire est donc une opération contestée, pas une personne identifiée.

À la relève fictive de 09:30 UTC, l’analyste entrant retrouve EX-E1, reformule les deux inconnues et accepte trois actions : contrôler les sessions, préciser les messages touchés et retrouver une éventuelle autorisation métier. La coordinatrice conserve la responsabilité de l’arbitrage. Le dossier ne peut être clos uniquement parce que la règle a disparu ; les actions résiduelles doivent être attribuées et la conclusion rédigée à leur niveau réel.

11. Vérifier la complétude et accepter la relève

• ☐ Un responsable interne et un suppléant sont joignables sans dépendre du compte suspect.
• ☐ Chaque conclusion importante possède une pièce, une limite ou le statut explicite d’hypothèse.
• ☐ Les requêtes et plages consultées peuvent être reproduites par un intervenant autorisé.
• ☐ Les transferts et corrections conservent provenance et versions.
• ☐ Les actions demandées, exécutées et vérifiées sont distinguées.
• ☐ Les décisions sous incertitude indiquent décideur, risque, compensation et réexamen.
• ☐ L’entrant confirme accès aux pièces, priorités, contacts et prochaines décisions.
• ☐ Les copies temporaires et accès fournisseurs ont une condition de retrait.

La clôture est une décision distincte de la relève. Elle contient le périmètre couvert, les faits, les inconnues acceptées, les conséquences métier et les actions suivies ailleurs. Le responsable valide la diffusion et le stockage ; les fonctions compétentes déterminent conservation et obligations applicables. Un examen ultérieur doit pouvoir comprendre pourquoi une décision était raisonnable avec les informations disponibles à cet instant.

Références de travail

Le NIST SP 800-61 révision 3 situe la réponse aux incidents dans la gestion du risque. Le NIST SP 800-86, publié en 2006, fournit un cadre de collecte et d’analyse forensique ; ses exemples techniques doivent être actualisés. Les tableaux et procédures ci-dessus sont des propositions éditoriales à adapter, sans certification ni garantie de conformité.