Préserver la provenance, pas seulement une capture d'écran
Un enregistrement de preuve utile identifie l'artefact original, le collecteur, la méthode de collecte, la source de données et l'heure UTC. Conservez les réponses brutes ainsi que l'interprétation lisible par l'homme. Une capture d'écran peut documenter l'apparence, mais elle ne remplace pas les en-têtes de message, les réponses DNS ou les artefacts de réponse.
Les registres publics changent. Une recherche ultérieure peut différer des données disponibles au moment d'un incident. Enregistrez explicitement l'heure d'observation et évitez d'impliquer qu'une réponse DNS actuelle décrit des conditions historiques.
Intégrité et manipulation
Calculer les hachages cryptographiques pour les fichiers conservés et enregistrer les valeurs de hachage dans un journal de preuves contrôlé. Un hachage aide à détecter les modifications apportées à un élément; il ne prouve pas que le contenu original était exact ou que le collecteur a suivi la procédure appropriée.
Maintenez un registre de la chaîne de conservation (chain-of-custody) décrivant la possession, les transferts, l'accès et le but. Appliquez les contrôles d'accès, les règles de rétention et la minimisation des données appropriés à l'enquête. L'admissibilité juridique dépend de la juridiction et des circonstances, et non du seul format du rapport.
Faits, inférences et limites
Séparer clairement les observations brutes, l'interprétation analytique et les questions sans réponse. Éviter de nommer un opérateur uniquement à partir d'un registre, d'une adresse d'hébergement partagé ou d'un proxy de confidentialité. Toute conclusion importante doit pouvoir être retracée jusqu'aux preuves justificatives.
- Enregistrer les artefacts originaux et les réponses de recherche brutes.
- Enregistrer la source, la méthode, l'heure de collecte UTC et le collecteur.
- Hacher les fichiers préservés et enregistrer les événements de manipulation.
- Étiqueter séparément les faits, les hypothèses et les champs indisponibles.
- Indiquer les limites de la collecte et solliciter des conseils juridiques si nécessaire.