Lorsque l’analyse légale numérique et la réponse aux incidents sont menées séparément, elles peuvent interférer l'une avec l'autre. L’équipe de réponse aux incidents pourrait altérer ou détruire des preuves pendant l’élimination d’une menace sur le réseau, et les enquêteurs en informatique légale pourraient retarder la résolution de la menace pendant la recherche des preuves. Il arrive que les informations ne circulent pas entre ces équipes, ce qui nuit à l’efficacité de leur travail respectif.
La DFIR fusionne ces deux disciplines en un seul processus, mené par une seule équipe. Cela présente deux avantages importants :
La collecte de données légales se fait parallèlement à l’atténuation des menaces. Au cours du processus de DFIR, l’équipe de réponse aux incidents utilise des techniques d’analyse légale pour collecter et préserver les preuves numériques tout en contenant et en éliminant la menace. Cela garantit que la chaîne de possession est respectée et que les efforts de réponse aux incidents n’altèrent pas ou ne détruisent pas des preuves précieuses.
L’examen post-incident implique l’analyse des preuves numériques. La DFIR utilise des preuves numériques pour étudier les incidents de sécurité plus en profondeur. Les équipes de DFIR examinent et analysent les preuves qu’elles ont recueillies pour reconstituer l’incident du début à la fin. Le processus de DFIR se termine par un rapport détaillant ce qui s’est passé, comment cela s’est déroulé, l’étendue complète des dégâts et comment des attaques similaires peuvent être évitées à l’avenir.
Parmi les avantages qui en résultent :
- Une prévention plus efficace des menaces. Les équipes de DFIR enquêtent sur les incidents de manière plus approfondie que les équipes traditionnelles de réponse aux incidents. Les enquêtes DFIR peuvent aider les équipes de sécurité à mieux comprendre les cybermenaces, à créer des protocoles de réponse aux incidents plus efficaces et à stopper davantage d’attaques avant qu’elles ne se produisent. Les enquêtes DFIR peuvent également permettre de rationaliser la traque des menaces en décelant des preuves de menaces actives inconnues.
- Peu de preuves sont perdues lors de la résolution des menaces, voire pas du tout. Lors d’une procédure standard de réponse aux incidents, il arrive que l’équipe de réponse se précipite pour contenir la menace. Si par exemple, les intervenants éteignaient un appareil infecté pour contenir la propagation d’une menace, toute preuve laissée dans la mémoire vive de l’appareil serait perdue. Formées à la fois à l’investigation numérique légale et à la réponse aux incidents, les équipes de DFIR savent comment préserver les preuves tout en résolvant les incidents.
- Amélioration du support en cas de litige. Les équipes de DFIR respectent la chaîne de possession, ce qui signifie que les résultats des enquêtes DFIR peuvent être partagés avec les forces de l’ordre et utilisés pour poursuivre les cybercriminels. Les enquêtes DFIR peuvent également venir en soutien des dossiers d’assurance et des audits réglementaires post-violation.
- Récupération plus rapide et plus robuste après l’élimination de la menace. Parce que les investigations numériques légales sont plus robustes que les investigations standard de réponse aux incidents, les équipes de DFIR peuvent déceler des logiciels malveillants cachés ou des dommages au système qui auraient autrement été négligés. Cela permet aux équipes de sécurité d’éradiquer les menaces et de se remettre plus efficacement des attaques.