La reconstruction est la reconstitution forensique de la chronologie d'un incident, établissant ce qui s'est passé, dans quel ordre et avec quel effet. Elle assemble les preuves de nombreuses sources en une séquence cohérente afin que l'organisation puisse comprendre toute l'ampleur de l'événement et appuyer les obligations de signalement ou les obligations légales qui en découlent.
Au sein de la phase post-incident, la reconstruction donne à l'évaluation et à l'amélioration leur ossature factuelle. Une chronologie fiable transforme des artefacts épars en un récit qui montre comment l'adversaire est entré, ce qu'il a fait et jusqu'où il est allé. Ce récit est essentiel pour des jugements d'impact précis et pour les décisions de divulgation.
En pratique, la reconstruction suit le processus forensique de collecte, d'examen, d'analyse et de rapport. Les enquêteurs préservent les preuves en veillant à leur intégrité et à la chaîne de possession, examinent les artefacts de disque, de mémoire, de journaux et de réseau, corrèlent les horodatages entre les systèmes et interprètent l'image combinée. Les constats sont documentés assez clairement pour résister à l'examen, qu'il émane de la direction interne, des régulateurs ou des tribunaux. Une reconstruction soignée renforce aussi la préparation future, car elle révèle exactement quelles sources de données étaient disponibles et lesquelles manquaient au moment où l'on en avait le plus besoin.
Références#
- NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response
- SANS, ressources sur la Digital Forensics and Incident Response