Collecte de triage

Une collecte de triage acquiert un ensemble ciblé de fichiers à forte valeur au lieu d'imager tout le disque. Une collecte Windows typique comprend les ruches du Registre et leurs journaux de transactions, les journaux d'événements, les métadonnées NTFS comme la $MFT, $UsnJrnl et $LogFile, le Prefetch, l'Amcache, SRUM, les données de navigateur, les fichiers LNK et les Jump Lists. Elle pèse de quelques centaines de mégaoctets à quelques gigaoctets et se réalise en quelques minutes, sur de nombreuses machines si besoin.

Les outils gratuits courants sont KAPE, dont les targets définissent ce qu'il faut collecter (la target composée KapeTriage est un point de départ très utilisé) ; Velociraptor, via l'artefact Windows.Triage.Targets, depuis un serveur ou sous forme de collecteur hors ligne autonome ; et le collecteur open source CyLR.

De nombreux fichiers importants sont verrouillés par Windows pendant son fonctionnement : ces outils lisent donc le volume par un accès NTFS brut plutôt que par les API de fichiers habituelles. Ils peuvent ainsi copier les ruches en cours d'utilisation et les fichiers de métadonnées NTFS, et certains savent aussi extraire des fichiers des clichés instantanés de volume.

La contrepartie est l'exhaustivité. Une collecte de triage ne contient ni l'espace non alloué, ni le slack des fichiers, ni le contenu des fichiers supprimés : le carving et la récupération approfondie ne sont plus possibles ensuite. Conservez empreintes et journaux de collecte pour préserver la chaîne de possession, et respectez l'ordre de volatilité : la mémoire doit être capturée avant un triage disque lorsqu'elle compte.