Comme son nom l'indique, dans cet article, nous allons parler essentiellement de méthodologie.

Nous verrons que pour chaque type de recherches, il peut être défini un périmètre d'étude, suffisamment exhaustif pour nous permettre de mener des recherches efficientes.

1 La méthode avant tout !

" et les outils, alors ? "

Les outils, ça viendra après, dans les autres articles.

Les outils ne font que ce qu’on leur demande de faire. Par exemple, certains outils vont automatiser l’exécution de plusieurs requêtes Google. Certes, ils font gagner du temps, mais, d’un autre côté, on pouvait aussi faire ces requêtes manuellement. Encore faut il savoir comment faire une requête Google.

Donc, avant de s’intéresser aux outils, il faut s’intéresser à la méthode, ce qu’on va faire ici.

A partir d’une donnée, l’important est donc de savoir ce qu’il est possible de faire : c’est ce qu’on va appeler le périmètre d’étude (on parle parfois aussi de surface d’attaque).

Il va donc falloir exploiter au mieux la donnée brute pour en extraire de nouvelles informations. Ces nouvelles données vont permettre de rebondir pour en obtenir de nouvelles. C’est la notion de cycle et de réorientation des besoins.

Mais pour passer d’un point A à un point B, le chemin n’est pas forcément direct. il faudra peut-être (souvent … ) passer par un point intermédiaire C.

2 La rigueur, c’est bien aussi !

Au fur et à mesure des recherches, on va accumuler de plus en plus de données.

Dans certains cas, on sera certain de leur pertinence, pour d’autres, cela sera peut être moins évident a priori … “A priori” seulement, car, après réflexion, il est bien possible que cette information soit finalement intéressante. Sauf que, on n’arrive pas à la retrouver, ou on ne sait plus comment on l’avait trouvée …

Bref, il faut prendre des notes pour conserver les informations : des données obtenues, des dates, des adresses, des pseudos, des url, des images, des captures d’écran, …

La prise de notes peut se faire par tout moyen : papier/crayon, outil de type “bloc-notes”, etc … Mais pour des dossiers complexes, on peut conseiller Cherrytree (disponible ici : https://www.giuspen.com/cherrytree/) ou Notion (https://www.notion.so/).

Pour les captures d’écran, on pourra aussi utiliser Flameshot https://flameshot.org/

Il va falloir se méfier de son intuition, respecter son plan de recherche et se laisser guider par les indices obtenus.

Pour chaque donnée, il y a un périmètre d’étude. Ce sont autant de pistes qu’il va falloir suivre :

certaines donneront des indices qu’il va falloir intégrer et à partir desquels il sera possible de rebondir vers un nouveau périmètre d’étude ;
d’autres ne donneront … rien du tout : ce n’est pas grave, on aura exploité cette piste, et on va simplement “fermer la porte”.

3 Le périmètre d’étude

Il y a autant de périmètres que de typologie de données.

De façon générale, il est parfois plus simple de suivre un schéma qu’un long descriptif.

Dans les schémas qui suivent :

un ovale sur fond bleu représente la donnée source ou le point de départ (il n’y en a qu’un par schéma, donc on ne peut pas le manquer !)
un losange sur fond rouge est une action à entreprendre : une recherche à lancer par exemple (la façon concrète de faire la recherche n’est pas détaillée ici, il faut se rendre à l'article correspondant)
un rectangle sur fond jaune est le résultat d’une recherche : c’est une nouvelle donnée, à partir de laquelle on pourra rebondir (et ainsi de suite, …)

Ces propositions ne sont pas exhaustives, elles suggèrent des pistes pour investiguer. Comme on l’a vu précédemment, il est important de suivre chaque piste. Selon le contexte, un certain nombre de pistes finira en impasse. Avec un peu d’expérience, et à défaut de les suivre systématiquement, il est important a minima de les envisager.

Les schémas qui suivent sont proposés par grande thématique. Cela dépend du besoin initial. Mais, selon le contexte, on va voir que l’on “rebondit” d’un périmètre d'étude à un autre.

3.1 Les images

Quelques commentaires, peut-être ?

débuter par une observation complète de l’image est sans doute une bonne idée ; on pourra peut être y trouver des éléments significatifs, que l’on pourra isoler et sur lesquels on lancera une recherche spécifique
l’examen des données EXIF est incontournable ; de la même façon, les propriétés du fichier, les dates de création, le nom du fichier peuvent également fournir des pistes à suivre
on peut poursuivre par une recherche inversée, éventuellement en isolant une partie de l’image
si un lieu a pu être identifié, un passage par différents outils de visualisation cartographique s’impose, sans oublier Google Street View et Photosphère (images postées par des internautes)
selon le lieu identifié, il faudra peut être rebondir par une recherche à partir de l’adresse ou du cadastre
si un internaute a posté une image intéressante, on pourra là aussi pivoter à partir du pseudo

3.2 Les personnes et pseudos

On a là aussi un schéma assez conséquent …

à partir du nom, une recherche générale dans un moteur de recherche est évidemment une première étape incontournable, en utilisant des “.”, des opérateurs, etc …
si la personne apparaît comme dirigeant d’une société, de multiples rebonds deviennent envisageables (statuts, site Web, …)
en fonction des résultats, des recherches directement liées à l’état civil sont peut-être là encore envisageables
les réseaux sociaux sont bien sûr à examiner
ne pas négliger quelques recherches dans la presse locale : on pourra peut être trouver un article sur un projet, une photo, …, tout élément qui permettra de rebondir vers de nouvelles recherches (" ça n’en finit donc jamais ? ")

3.3 Les sociétés

Les sociétés, c’est un gros morceau aussi :

toutes les informations relatives à l’identification des sociétés sont bonnes à prendre
selon le montage juridique (holding, sociétés fille / mère), de multiples rebonds sont à prévoir (et un gros mal de crâne en perspective peut-être aussi)
beaucoup de sociétés disposent d’un ou plusieurs sites Web : sur ce sujet, il faut aller voir le paragraphe suivant !
qui dit “société” dit “personne” (les salariés, les dirigeants) : un examen des réseaux sociaux, notamment professionnels, s’impose
une recherche dans la presse pourra donner des informations intéressantes : à ne pas négliger, en particulier la presse locale

3.4 Les sites Web

Quelques observations :

des informations peuvent probablement être obtenues directement depuis les pages du site, à commencer par les “mentions légales” et les pages “contact”
dans le cas d’une société ou d’une organisation importante, un organigramme est peut être disponible sur le site, mais attention, tout le personnel n’y figure généralement pas (seulement les postes de direction, chefs de service, …)
il existe des sites qui archivent des anciennes versions des sites Web : allez donc y faire un tour, on ne sait jamais !
évidemment, si le site appartient à une société, un détour par le périmètre d’étude consacré aux sociétés s’impose …
qui dit “site Web” dit “nom de domaine” : c’est l’occasion de rebondir vers de nouvelles recherches
on ne s’est pas étendu sur le footprinting, nos amis pentesteurs et hackers éthiques connaissent tout cela par coeur …

4 Un petit exemple pour conclure ?

" ouais, bonne idée "

Cet exemple, fictif, est surtout là pour illustrer le principe de rebond (ou pivot).

nous partons d’une photo avec deux personnes, devant un lieu à déterminer
les données EXIF nous donnent une date de prise de vue, mais pas de coordonnées GPS
nous allons ensuite identifier le lieu (reverse image, ou autre procédé)
puis, sur Maps, nous retrouvons cette photo postée par un internaute (oh la chance !), nous obtenons donc un pseudo
une recherche inversée à partir de pseudo nous amène vers des profils de réseaux sociaux
si le nom du profil est un pseudo, l’url du compte contient, lui, le nom de la personne
une recherche sur le profil, à la date de la prise de vue, nous amène à un post contenant la photo
en examinant les personnes ayant commenté ou liké le post, nous identifions la seconde personne de la photo (waouh !)
la personne ayant posté la photo est associée dans une société (oh, pas possible … )
etc, etc, etc, …

On est d’accord, cet exemple est un peu théorique, quand même …

" Mais, le cycle du renseignement …, c’est quoi le rapport ? "

Nous sommes partis d’une image : deux personnes, un lieu. La mission est d’identifier ces personnes. A partir de différents éléments, nous avons pu identifier les personnes, ainsi que le lieu. Si le lieu de la photo ne faisait pas partie de l’objectif de la mission, il nous a permis de rebondir vers les personnes.

En identifiant la personne, nous constatons qu’elle est aussi associée dans une ou plusieurs sociétés. Par le plus grand des hasards (scénario idéal … ), le lieu de l’image correspond au siège social de la société …

Un nouveau besoin peut alors être exprimé : poursuivre les recherches sur les sociétés, le réseau d’associés et de dirigeants.

" C’est bon ! J’ai tout compris ! "

Allez, c’est à vous de jouer maintenant.

2. Méthodologie générale