TP Investigation Numérique

Logiciels utilisés :
 GetDataBack
 PC Recovery

Contexte Disque Dur

Lors d’une investigation numérique, il est très important de définir le contexte d’application.
Par contexte d’application ici on fait référence à l’identification du problème à analyser ainsi que
les outils adéquats pour mener à bien l’ensemble des opérations correspondances. En effet, les
évolutions technologiques sont tellement grandissantes que pour un matériel bien précis, on peut ne
pas avoir à faire avec sa technologie associée pour un matériel identique : tout dépend du contexte.
On observe particulièrement ce cas au niveau des disques durs. Aujourd’hui incontournables
en matière de sauvegarde et de stockage de données, on en distingue de nos jours quatre types ou
technologies :
 Les disques dur SATA ;
 Les disques dur IDE ;
 Les disques dur USB ;

Application1 : cas de GetDataBack

Dans l’exercice du logiciel GetDataBack, plusieurs opérations peuvent être effectuées, en
occurrence les opérations de récupération de données. Afin de rester bref mais précis, nous
procéderons d’une manière progressive en étapes. On peut donc noter :
1. Formater le lecteur à analyser pour préparer le lecteur au processus de récupération ;
2. Vérifier que le lecteur à analyser est bien visible par le logiciel : pour cela on peut
effectuer deux démarrages du logiciel en insérant au premier démarrage le lecteur à analyser
et au second en retirant la clé. Si le nombre de lecteurs détectés changent, alors le lecteur est
bien visible (cas d’une clé USB).
3. Paramétrer le logiciel pour cibler particulièrement le type de données qu’on souhaite
récupérer, à quel profondeur (1-5) tout en précisant que nous souhaitons même récupérer des
fichiers supprimés ;
4. Lancer la récupération

Application2 : cas de PC Recovery

De prime abord, distingons deux types de scan : l
 Les scans rapides ;
 Les scans complets ;
Pour le cas de PC Recovery, on fera la récupération de tous les fichiers de type image (png,
jpg, …).

TP : Capturer le fonctionnement (mémoire) du PC avec FTK Imager. Ensuite calculer le hash avec
la fonction de hachage à 256 bits .
NB : Un détrompeur est un élément permettant de ne pas se tromper lors de la connexion à un
périphérique. On les observe sur plusieurs périphériques :
 Pour les clés USB, c’est l’ouverture d’entrée de la connexion ;
 Pour les smartphones, que ce soit pour les ports de charge ou des ports des kits audio,
l’entrée du connecteur constitue un détrompeur car il indique comment connecter le
périphérique ;

Outils autres :
 HDD Regenrator pour la restauration de secteurs défectueux.