40 termes du glossaire

Glossaire

Définitions claires des termes et concepts de l'investigation forensique Windows.

Flux de données alternatif (ADS): Un flux $DATA nommé supplémentaire attaché à un fichier NTFS, invisible dans l'Explorateur, utilisé pour la Mark of the Web ou pour cacher des données.
Anti-forensique: Techniques visant à détruire, cacher ou falsifier des preuves : effacement de journaux, timestomping, wiping, suppression des clichés ou du journal USN.
ControlSet et CurrentControlSet: Les jeux de configuration numérotés de la ruche SYSTEM ; CurrentControlSet est un lien d'exécution absent d'une ruche analysée hors ligne.
Base ESE (Extensible Storage Engine): Le format de base de données transactionnelle de Microsoft derrière SRUM, WebCache, l'index Windows Search et la file BITS, souvent « dirty ».
Event Tracing for Windows (ETW): Le mécanisme de traçage du noyau Windows : des fournisseurs émettent des événements vers des sessions, alimentant journaux, fichiers .etl et EDR.
ID d'événement Windows: Le numéro qui identifie un type d'événement au sein d'un fournisseur donné ; il n'a de sens qu'associé à ce fournisseur et à son canal.
Preuve d'exécution: Les artefacts qui montrent qu'un programme s'est réellement exécuté sous Windows, et pas seulement qu'il était présent sur le disque.
Carving de fichiers: La récupération de fichiers à partir de données brutes grâce à des signatures de contenu (en-têtes, pieds), sans métadonnées du système de fichiers.
Slack de fichier: L'espace inutilisé entre la fin des données d'un fichier et la fin de son dernier cluster alloué, qui peut contenir des restes d'anciens fichiers.
FILETIME: Le format d'horodatage Windows sur 64 bits qui compte les intervalles de 100 nanosecondes depuis le 1er janvier 1601 UTC.
AppID de Jump List: L'identifiant de 16 caractères hexadécimaux qui nomme chaque fichier Jump List et permet de le rattacher à l'application qui l'a créé.
LastWrite d'une clé de Registre: L'unique FILETIME stocké dans chaque clé de Registre, qui indique en UTC la dernière modification de la clé ou de l'une de ses valeurs.
Mouvement latéral: Déplacement d'un attaquant d'un hôte compromis vers d'autres machines du réseau, via RDP, SMB, PsExec, WMI, WinRM ou tâches et services distants.
Type d'ouverture de session (logon type): Le champ numérique des événements 4624 et 4625 qui indique comment un compte s'est connecté : console, réseau, service, RDP, cache, etc.
LOLBin (binaire living-off-the-land): Binaire Windows légitime et signé que les attaquants détournent pour télécharger, exécuter ou dissimuler une charge sans déposer leurs outils.
Mark of the Web (MOTW): Le flux alternatif Zone.Identifier que Windows ajoute aux fichiers téléchargés, avec la zone de sécurité et souvent l'URL d'origine.
Numéro de référence de fichier MFT: L'identifiant NTFS d'un fichier sur 64 bits : numéro d'entrée MFT sur 48 bits et numéro de séquence sur 16 bits, modifié à chaque réutilisation.
NTFS: NTFS est le système de fichiers par défaut de Windows ; ses fichiers de métadonnées ($MFT, $LogFile, $UsnJrnl) sont des sources forensiques centrales.
NTUSER.DAT: La ruche du Registre propre à chaque utilisateur, stockée dans son profil et chargée comme HKEY_CURRENT_USER, riche en traces d'activité.
Persistance: Mécanismes permettant à un malware ou à un attaquant de survivre aux redémarrages : clés Run, services, tâches planifiées, abonnements WMI.
Journaux de transactions du Registre (.LOG1/.LOG2): Les fichiers .LOG1 et .LOG2 de chaque ruche consignent les écritures en attente ; depuis Windows 8.1, ils peuvent contenir des données absentes de la ruche.
Données résidentes: Contenu de fichier assez petit pour être stocké directement dans son enregistrement MFT NTFS, plutôt que dans des clusters séparés du volume.
Identifiant de sécurité (SID): La valeur unique qui identifie utilisateurs, groupes et ordinateurs sous Windows, comme S-1-5-21-…-1001, présente dans le Registre et les journaux.
Élément shell (ShellItem / PIDL): Structure binaire identifiant un élément de l'espace de noms du Shell Windows, chaînée en listes dans les ShellBags, LNK et Jump Lists.
Journal WAL SQLite (-wal): Le fichier annexe -wal où SQLite écrit les modifications récentes avant de les fusionner dans la base ; il contient souvent les preuves récentes.
$STANDARD_INFORMATION et $FILE_NAME: Les deux attributs NTFS qui portent chacun un jeu d'horodatages MACB ; les comparer est une technique clé pour détecter le timestomping.
Super timeline: Une vue chronologique unique fusionnant les horodatages du système de fichiers, du Registre, des journaux et d'autres artefacts, souvent via Plaso.
Collecte de triage: Acquisition ciblée d'artefacts à forte valeur (ruches, journaux, $MFT, Prefetch) au lieu d'une image disque complète, via KAPE ou Velociraptor.
Espace non alloué: Les clusters qu'un système de fichiers considère comme libres ; ils contiennent souvent encore des données de fichiers supprimés.
UsrClass.dat: La seconde ruche du Registre par utilisateur, mappée sur HKCU\Software\Classes, qui contient les ShellBags, le MUICache et des objets COM.
UTC et heure locale dans les artefacts Windows: Pourquoi certains artefacts Windows enregistrent l'UTC et d'autres l'heure locale, et comment la clé TimeZoneInformation aide à normaliser une chronologie.
Numéro de série de volume: L'identifiant écrit sur un volume lors de son formatage ; enregistré dans les LNK et le Prefetch, il rattache une activité à un volume précis.
Chaîne de possession: Le registre documenté et ininterrompu de qui a manipulé une preuve, quand et pourquoi, garantissant son intégrité et sa recevabilité.
Horodatages MACB: Les quatre dates NTFS — Modified, Accessed, Changed (entrée MFT) et Born (création) — servant à bâtir des chronologies forensiques.
Master File Table (MFT): L'index de métadonnées NTFS, stocké dans `$MFT`, qui contient un enregistrement par fichier et répertoire d'un volume.
Ordre de volatilité: Le principe consistant à collecter d'abord les preuves les plus volatiles, avant qu'elles ne disparaissent, comme décrit dans la RFC 3227.
Ruche du Registre: Un fichier sur disque qui supporte une partie du Registre Windows, comme `SYSTEM`, `SOFTWARE` ou `NTUSER.DAT`.
Timestomping: Une technique anti-forensique qui modifie les horodatages d'un fichier pour masquer sa date de création, de modification ou d'accès.
Cliché instantané de volume (VSS): Un service Windows qui crée des instantanés ponctuels d'un volume, permettant de récupérer d'anciens états de fichiers et du registre.
Bloqueur d'écriture: Un dispositif matériel ou logiciel empêchant toute écriture sur le support de preuve durant l'acquisition, préservant son intégrité.