Glossaire
Ordre de volatilité
Le principe consistant à collecter d'abord les preuves les plus volatiles, avant qu'elles ne disparaissent, comme décrit dans la RFC 3227.
L'ordre de volatilité est un principe directeur de la collecte de preuves : capturer en premier les données les plus susceptibles de disparaître, puis progresser vers les plus durables. Certaines preuves s'évanouissent en quelques microsecondes tandis que d'autres subsistent des années ; la séquence de collecte importe donc autant que ce que l'on collecte.
Formalisé dans la RFC 3227, un ordre typique va du plus volatile au moins volatile :
1. Registres et cache du processeur
2. RAM (processus en cours, connexions réseau en mémoire)
3. État du réseau (tables de routage, cache ARP, connexions actives)
4. Processus en cours et état du noyau
5. Disques et systèmes de fichiers
6. Données de journalisation et de surveillance distantes
7. Configuration physique et supports d'archivage
Suivre cet ordre signifie acquérir une image mémoire avant de couper l'alimentation, car l'extinction détruit la RAM, les sockets réseau ouverts et l'état non sauvegardé. Respecter la volatilité maximise les preuves récupérées et en préserve l'intégrité.
Artefacts concernés
- hiberfil.sys (fichier d'hibernation)Fiche hiberfil.sys : ce que sauvent l'hibernation et le démarrage rapide, compression selon la version, conversion en image mémoire brute.
- Historique du presse-papiersFiche presse-papiers : ce que Windows 10/11 garde en mémoire, éléments épinglés sur disque, texte du presse-papiers cloud dans ActivitiesCache.db et registre.
- Messageries de bureau (Slack, Signal, WhatsApp…)Fiche messageries de bureau : où Slack, Signal, WhatsApp, Telegram et Discord stockent leurs données sous Windows, chiffrement, horodatages et exports.
- Microsoft Teams (client classique et nouveau client)Fiche Microsoft Teams : dossiers de l'ancien et du nouveau client, messages et appels en IndexedDB LevelDB, journaux, exports Purview ou Graph comme référence.
- pagefile.sys et swapfile.sysFiche pagefile.sys et swapfile.sys : mémoire paginée sur disque, données récupérables, ClearPageFileAtShutdown, compression et outils de carving.
- Vidages mémoire (MEMORY.DMP, minidumps)Fiche vidages mémoire : emplacements de MEMORY.DMP et des minidumps, types CrashControl, vidages en mode utilisateur, traces de dump LSASS et outils d'analyse.
- Windows Recall (instantanés des PC Copilot+)Fiche Windows Recall : magasin CoreAIPlatform, ukg.db et ImageStore, texte OCR et titres de fenêtres, chiffrement VBS, activation volontaire et limites.