Créer CD Bootable Forensique pour Acquisition Live : Outils et Procédure

Objectif

Un CD/USB bootable forensique fournit un environnement de confiance, écriture-bloquée, pour acquérir données d'un système live (en cours) sans altérer l'OS hôte — critique pour réponse incident, analyse malware, et préservation preuves.

Top Plateformes Bootables Forensiques

Plateforme	Base	Outils Inclus Clés	Licence	Idéal Pour
Kali Linux (Mode Forensique)	Debian	dd, dc3dd, Guymager, FTK Imager CLI, Autopsy, Sleuth Kit, Volatility, Bulk Extractor, ewfacquire	Gratuit / Open Source	Acquisition Live Générale, Capture Mémoire, Triage
CAINE (Computer Aided INvestigative Environment)	Ubuntu	Tout ci-dessus + Photorec, TestDisk, RegRipper, WinHex, Scripts Spécialisés	Gratuit / Open Source	Standard Police Italienne ; GUI Conviviale
DEFT (Digital Evidence & Forensics Toolkit)	Lubuntu	DART (Digital Advanced Response Toolkit), Autopsy, Volatility, Outils Réseau Forensique	Gratuit / Open Source	Réponse Live, Mémoire, Réseau
Paladin (SUMURI)	Ubuntu	Suite Pré-installée Étendue, Auto-Mount Write-Block, Templates Rapports	Gratuit / Support Payant	Workflow GUI Complet
FTK Imager (Bootable Standalone)	WinPE / Linux	FTK Imager (Imagerie, Hashage, Montage, Capture RAM)	Gratuit (Inscription)	Format Imagerie Fiable (E01, AFF, Raw)
EnCase Portable / Endpoint Investigator	WinPE	Acquisition EnCase, Analyse, Scripting	Commercial	Entreprise, Workflows Acceptés Tribunal

Création Média Bootable

1. Téléchargez ISO source officielle (Vérifiez SHA256).
2. Écrivez sur USB (Préféré Au CD : Plus Rapide, Réinscriptible, Plus Grand) avec :
   • Rufus (Windows) — Sélectionnez Mode « DD Image » pour ISOs Linux.
   • BalenaEtcher (Multi-Plateforme).
   • dd (Linux/macOS) : dd if=forensic.iso of=/dev/sdX bs=4M status=progress oflag=sync
3. Testez Boot sur Machine Non-Cible : Vérifiez Write-Blocker Actif (Check `/sys/block/sdX/ro = 1`), Outils Lancent, Config Réseau.

Réalisation Acquisition Live

1. Documentez : ID Affaire, Examinateur, Date/Heure, Détails Système Cible, Hash Média Boot.
2. Boot Cible : Insérez Média, Boot (Peut Requérir Menu Boot BIOS/UEFI, Désactiver Secure Boot).
3. Sélectionnez Mode Forensique : Auto Write-Block + Pas Auto-Mount.
4. Identifiez Disque Cible : lsblk, fdisk -l. Notez Taille, Partitions.
5. Acquérez :
   • Image Disque Complet (dd/dc3dd/ewfacquire) : ewfacquire -t /mnt/evidence/image.E01 /dev/sdX
   • Fichiers/Dossiers Logiques : FTK Imager GUI, cp -a (Avec Prudence).
   • Mémoire (RAM) : lime, avml, WinPMEM (Linux/Win).
   • Données Volatiles : Connexions Réseau (ss -tunap), Processus (ps aux), Utilisateurs Connectés (w), Fichiers Ouverts (lsof).
6. Vérifiez : Hash (MD5/SHA1/SHA256) Source vs Image. Loggez Tout.
7. Préservez Chaîne Preuve : Scellez, Étiquetez, Stockage Sécurisé.

Impératifs Légaux & Éthiques

• Autorisation Appropriée (Mandat, Consentement, Politique).
• Minimisez Impact Système (Lecture Seule, Pas Écriture Cible).
• Documentez Chaque Commande, Sortie, Horodatage.
• Formation : SANS FOR500/508, GCFA, EnCE, Certifs Vendeurs.