Ordre de volatilite.

Priorite d'acquisition definie par la RFC 3227 imposant aux intervenants forensiques de collecter d'abord les preuves les plus ephemeres avant qu'elles ne soient ecrasees ou perdues. Cette notion relève de la catégorie Forensique et réponse en cybersécurité.

Priorite d'acquisition definie par la RFC 3227 imposant aux intervenants forensiques de collecter d'abord les preuves les plus ephemeres avant qu'elles ne soient ecrasees ou perdues.

L'ordre de volatilite est un principe fondamental du DFIR, formalise dans la RFC 3227, qui classe les preuves numeriques selon la vitesse a laquelle elles changent ou disparaissent. L'ordre canonique est : registres et cache CPU, memoire noyau et processus, etat reseau et caches ARP, processus en cours, systemes de fichiers temporaires, stockage persistant, donnees de journalisation et de monitoring distants, et enfin configuration physique et supports d'archive. Les intervenants doivent imager les sources volatiles avant tout arret ou redemarrage, car la RAM, les sessions reseau et l'etat de routage disparaissent a l'arret. En IR Windows moderne, on capture la memoire avec WinPmem ou DumpIt et on trie les artefacts volatiles avec KAPE ou Velociraptor avant les procedures d'arret forensique.

Les défenses contre Ordre de volatilite combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Ordre de volatilite, Ordre RFC 3227.