INFORMATIQUE JUDICIAIRE Contenu détaillé du bloc 1

Transcription

1 INFORMATIQUE JUDICIAIRE Contenu détaillé du bloc 1 Partie 1 : Perquisition d'ordinateurs - théorie 1. Introduction Présentation des blocs de formation Présentation des instructeurs Les candidats se présentent Objectifs du cours Déroulement de la formation 2. Ordinateurs et appareils Définition judiciaire, philosophique et de terrain Station de travail Laptops et notebooks Netbooks, pads et ardoises tactiles Pods et lecteurs MP Consoles de jeux Téléphones intelligents Serveurs - un survol - identification 3. Structure physique générale d'un ordinateur Composants internes - description et fonction Composants externes - description et fonction Soins et précautions pour enlèvement 4. Principaux médias connectés physiquement de façon permanente (MCP) Description des MCP Identification d'interface Fonctions et utilisations les plus communes 5. Médias connectés sans-fil MCSF Bornes sans-fil et répéteurs Détection de connexion sans-fil Médias sans-fil 6. Médias amovibles Disquettes Médias optiques courants Médias connectés USB d'usage courant Méga médias connectés USB/firewire/eSATA Identification d'interface 7. Signaux électriques dans un câble Identification d'interface Propagation du signal électrique Fil qui parle - fil qui écoute Cross-over et patch RJ45 Caractéristiques minimales Portées maximales 8. Structure interne physique des médias Disquettes Disques durs Clés USB Disques SSD Barrettes de mémoire CMOS et consort RAID 1

2 SAN NAS 9. Structure interne logique des médias Systèmes d'exploitation - station de travail Systèmes d'exploitation - serveurs Systèmes d'exploitation - tablettes tactiles Systèmes d'exploitation - consoles de jeux Systèmes de fichiers Arborescence et structure hiérarchique Localisation de la preuve - usager Localisation de la preuve - système Initiation aux commandes en mode console 10. Réseaux Aperçu du fonctionnement Matériel spécifique au réseau Architectures: poste à poste, station-serveur Domaines et groupes de travail Les protocoles Adresses IP v.4 et v.6 Sous-réseaux Se connecter à un réseau Le réseau des réseaux Se connecter à Internet Terminal Logiciel - terminal léger Logiciel - terminal zéro Matériel - terminal léger Matériel - terminal zéro Machines virtuelles Infonuagie et perquisition distante 11. Opérations d'informatique judiciaire Déroulement d'une enquête Prérequis Opérations étatiques et non-étatiques Autorisation d'entrer: mandats et ordonnances Déroulement d'une opération d'informatique judiciaire Comportement sur les sites Documenter comme filet de protection 12. Saisir: périmètre contextuel Examen vs fouille complète Média trouvé vs saisi vs emprunté Principes de base Faits et circonstances Documenter les observations Savoir conclure Copier, cloner ou saisir 13. Autres outils d'enquête Numérisation Matériel de numérisation - industriel et domestique Logiciels de numérisation Reconnaissance optique de caractères Enquêter électroniquement Caviardage Cour électronique Matériel pour la cour Litigation software Renseignements 2

3 Moteurs de recherche Google cheat Logiciels de cueillette d'information Partie 2 : Perquisition d'ordinateurs - pratique 1. Révision du bloc 1 : Perquisition d'ordinateurs - théorie Ordinateurs et appareils Structure physique générale d'un ordinateur Principaux médias connectés physiquement de façon permanente (MCP) Médias connectés sans-fil MCSF Signaux électriques dans un câble Structure interne physique des médias Structure interne logique des médias Réseaux Opérations d'informatique judiciaire Saisir: périmètre contextuel Autres outils d'enquête 2. Techniques d'interrogatoire Quand interroger et qui (sur un site de perquisition) Choses à faire/dire ou non Ce qu'on recherche typiquement Timing 3. Monter un ordinateur et le mettre en service Séquence d'assemblage Précautions à prendre Vidéo: «Assembler un ordinateur un jeu d'enfant!» Distribution du «kit» et inventaire 4. Laboratoire de montage d'un ordinateur Activité dirigée Pas d'installation de système d'exploitation Disque dur déjà systémé sera utilisé pour l'occasion Objectif: ordinateur fonctionnel à la fin du lab 5. «Kit» de perquisition informatique Matériel pour le cours Laptop de l'employeur «Kit» demandé à l'employeur Inventaire pour savoir ce qui manque au «kit» de l'employeur Logiciels pour le cours DEFT CD Helix Pro «Kit» demandé à l'employeur Inventaire pour savoir ce qui manque au «kit» de l'employeur 6. Gratuiciels Différence entre gratuiciels, partagiciels et logiciels Aspects éthiques Constituer un échantillon pour un test Tester un logiciel Rapport de test 7. Théorie supplémentaire sur la saisie Règles de preuve à la cour: authenticité et ouï-dire Comportement sur les sites Faits et circonstances justifiant une saisie 8. Laboratoire d'installation: préparation technique du netbook (les installations sont toutes des pas-à-pas guidés) Activité dirigée Objectifs: installation du système d'exploitation et des gratuiciels sélectionnés 3

4 Installation d'un système d'exploitation sur le netbook Installation d'open Office Installation de FTK Imager Installation du package de gratuiciels choisis 9. Laboratoire à réaliser: test d'un gratuiciel Assignation d'un gratuiciel à chaque participant Assignation d'un échantillon à chaque participant Le participant doit établir son propre protocole de test Réalisation du test Un rapport de test sera fait en soirée sur le temps propre du participant comme travail de session 10. Imager un média Rappel sur la structure interne logique des médias Théorie sur l'imageage judiciaire Différence entre copier des données, imager un répertoire, imager un média et cloner un média Pourquoi on image ou clone - notamment: remise en opération Retrait de disque dur - configuration physique des ordinateurs - précautions - photos Présentation des logiciels choisis pour cloner, imager ou copier 11. Un coup de pratique - perquisitionner Démarrage contrôlé Éliminer les risques de corruption de la preuve - connexions remote, virus et agressions environnementales Où fouiller - à voir dans le cours Encase Un coup de pratique - imager Identification de l'original Blocage du port d'attache de l'original Ouverture du port d'attache de la cible Procédure logicielle Exécution 12. La restauration de l'image Sécuriser l'original (saisir, sceller et sécuriser) Connecter la nouvelle cible Procédure logicielle Réinstaller la nouvelle cible Restauration d'image du laptop de perquisition - filet de protection 13. Un coup de pratique - restaurer Identification de la source et de la cible Blocage de l'original et ouverture de la cible Procédure logicielle Exécution 14. Examen 1 - Vendredi 15. Cloner Identification de l'original Blocage du port d'attache de l'original Ouverture du port d'attache de la cible Procédure logicielle Exécution Réinstaller le clone 16. Copier des fichiers ou des répertoires avec Teracopy Identifier les sources pertinentes Copier Récupérer les journaux (logs) 17. Imager des répertoires avec FTK Imager Déterminer le répertoire à imager Aménager un espace suffisant sur la cible Imager la mémoire vive et les mémoires virtuelles Informations extractibles 18. Examiner le contenu d'un média 4

5 Présentation des logiciels choisis pour examiner un média Comment chercher sur un média Protection des médias contre l'écriture Données usager et données système Lien avec les choses à rechercher Lien avec MIJA Documenter comme filet de protection Perquisitionner du MacIntosh Téléphones cellulaires et ardoises Matériel et logiciel d'examen et d'extraction Précautions à prendre en cas de saisie Cartes SIM Imager un tel artéfact 19. Métadonnées Définition et utilité des métadonnées Entête et queue de fichier Signature de fichier et modification d'extension Datation et modification de la datation Versions précédentes 20. Laboratoire sur l'examen d'une image judiciaire à l'aide des logiciels Examen de trois images (Win, Mac, Posix) judiciaires avec commentaires de l'entraîneur Chaque participant analysera un média assigné au hasard Les notes d'informaticien judiciaire seront exigées 21. Révisions de la théorie Révision sur les étapes d'une enquête Révision sur le déroulement d'une opération d'informatique judiciaire Révision - principes de preuves Révision - principes de base en informatique judiciaire Révision - faits et circonstances 22. Exécution pas-à-pas d'une perquisition Briefing sur la mission simulée Répartition des tâches Déplacement vers le site de perquisition (RV et RV avancé) Interrogatoire du responsable du parc informatique D'autres médias seront trouvés suite à l'entrée Embauche d'acteurs si possible Entrée et prise de contrôle Planification de la journée Exécution Prise de notes Debriefing Départ du site Remise en opération Rapport de perquisition 23. Internet Navigateurs Caches Historiques Cookies Favoris 24. Web 2,0 et 3,0 - Fonctionnement et traces Applications Trace dans l'ordinateur Dépôts de données Google Apps Réseaux sociaux Messageries instantannées, poste-à-poste (style Limewire), dépôts de données (style Boxnet) 5

6 Trace dans l'ordinateur Récupérer les journaux (logs) Enquêter en ligne Intelligence Aperçu des méthodes de couverture Aspects éthiques Aspects légaux Danger de l'enquête en ligne 25. Rechercher sur Internet (Laboratoire «self-paced») Le participant suit une feuille de route et doit répondre aux questions. Il remet ses réponses comme devoir. Finir le lab est obligatoire et remettre le questionnaire est obligatoire Moteurs de recherche Google cheat Google hacks 26. Comptabilité «Off-shelves» vs propriétaires Principes de base en comptabilité Prinicipaux crimes financiers La Bourse et ses crimes Analyse d'un registre comptable Extraction d'information - Simple comptable ou Quickbooks WinIDEA et Drill Exercices 27. Impôt «Off-shelves» vs propriétaires Principes de base en fiscalité Principaux crimes fiscaux Analyse d'un rapport d'impôt Extraction d'information - QuickTax Exercices 28. Base de données Anciennes bases de données Bases de données relationnelles CSV et TSV WinIDEA 29. Conversions et convertisseurs Méthodes de conversion disponibles Convertir du Mac Utiliser une imprimante pdf Utiliser un convertisseur de fichier (photo, audio, vidéo) Conversion vers Excel Autres conversions Pertes d'information suite à une conversion Compenser pour la perte d'information 30. Laboratoire sur les logiciels comptables, fiscaux, bases de données, métadonnées «Self-paced» avec réponse à des questions Finir le lab est obligatoire et remettre le questionnaire est obligatoire 31. Examen 1 - Vendredi Partie 3 : Obligations et pouvoirs 1. Bases des lois criminelles Système parlementaire canadien Prescriptif, adjudicatif et applicatif Exécutif et législatif Processus d'adoption des lois 6

7 Organisation policière au Canada Organismes d'exécution au Canada Interaction avec les forces de l'ordre ailleurs qu'au Canada Différence entre loi et règlement Définition d'une infraction L'intention criminelle et l'acte criminel Enquête Rapports précédant la mise en accusation Mise en accusation Peines et punitions 2. Charte des droits et libertés Articles 2 à 6: libertés fondamentales et droits démocratiques Articles 7 à 14: garanties juridiques L'article 24: recours Doctrine et jurisprudence Faire de la recherche: CanLII et SOQUIJ Cas impliquant de l'électronique Lois sur la preuve au Canada Définitions disponibles dans les lois actuelles de: document, ordinateur, 3. Infractions du code criminel Vise à faire connaître non pas les seules infractions qu'on peut commettre avec un ordinateur, mais les crimes dont on peut trouver les preuves sur un ordinateur Infractions contre l'ordre public Documents officiels Substances dangereuses Terrorisme Comportements typiques Financement Entités inscrites Saisie et blocage/confiscation des biens Donner des instructions et héberger Armes à feu et autres armes Trafic Importation et exportation Infractions contre l'application de la loi et l'administration de la justice Corruption Infractions d'ordre sexuel, actes contraires aux bonnes mœurs et inconduite Catégories d'âge Consentement et usage de la force Bestialité, voyeurisme et corruption des mœurs Pornographie juvénile: accès, production, possession et trafic Pornographie juvénile: confiscation, destruction, droit d'appel des tiers et restitution Leurre Inconduite Diffusion de fausses nouvelles Atteintes à la vie privée Définition d'une télécommunication Consentement et autorisations Maisons de jeux électroniques Infractions contre la personne et la réputation Meurtre, homicide et degrés Harcèlement criminel Intimidation Proférer des menaces Enlèvement, traite de personnes, prise d'otages et rapt Libelle diffamatoire et publication de bonne foi Propagande haineuse, saisie et destruction 7

8 Infractions contre les droits de propriété Destruction de titres Carte de crédit: vol, falsification, copie, possession de données et utilisation frauduleuse Utilisation non autorisée d'un ordinateur Prêts usuraires Vol de courrier (et de courriel?) Escroquerie: faux semblant ou fausse déclaration Faux et usage de faux, contrefaçons et altérations Opérations frauduleuses Fraude Délit d'initié Aliénation frauduleuse de biens Falsification de livres et documents Vol d'identité, fraude à l'identité, possession, trafic et utilisation Contrefaçons de marques de commerce Commissions secrètes Bons-primes Actes prohibés contre certains biens Méfait Fausse alerte Infractions relatives à la monnaie Possession Mise en circulation Copie Documentation et instruments pour l'utilisation de drogues illicites Produits de la criminalité Définition Infraction Perquisition et saisie Blocage, restitution, confiscation et disposition Biens à l'étranger Annulation de cession Tentatives, complots et complices 4. Les dispositions d'inspection, de fouille, de perquisition et de saisie Définitions: inspection, fouille et perquisition Fouilles corporelles préventives Code criminel 487 Dispositions dans les autres lois Ccr 487(2.1) et (2.2) Paragraphes informatiques Pouvoirs en cas d'absence des paragraphes informatiques Ordonnances de communication Ordonnances d'assistance Saisie pour fin d'expertise Doctrine des objets directement à la vue (Plain view) Inventaire et rapport au juge Traitement après saisie Les dispositions de perquisition ou d'inspection des lois autres que le code criminel Pouvoirs aux frontières Immigration Environnement Surveillance des marchés financiers et boursiers Fraudes électorales Les opérations non étatiques Exigences Déroulement Examen de l'informatique 8

9 Emporter et détenir un ordinateur ou des données d'ordinateur La rétention et la prolongation Le verdict, la sentence et les délais d'appel Le retour des biens saisis Timing Précautions Procédure 5. La préparation de la preuve pour le procès Exigences de dépôt de preuve à la Cour La structure des procureurs au Canada et au Québec Le rapport d'enquête Toute la preuve ou toute la preuve pertinente? Preuve papier Preuve électronique Signification de «indexée» Accessible Intelligible Responsabilités de l'enquêteur Responsabilités de l'enquêteur informatique Responsabilités du procureur Qui choisit les preuves qui seront divulguées? Qui choisit les preuves qui seront présentées? Étapes du procès Les requêtes Les recours 6. Infractions criminelles à d'autres lois fédérales et provinciales Lois de l'impôt, de l'accise et des taxes Lois sur l'environnement, la faune, la flore et la protection des espèces en danger Lois sur les douanes et l'immigration Lois électorales Lois sur la défense nationale, les forces armées et la défense du territoire Lois sur les marchés financiers et le système bancaire (incluant les mesures sur le contrôle de l'exportation de sommes d'argent de plus de $) Lois sur les produits de la criminalité, les drogues et autres substances 9