Forensic Email Collector

Forensic Email Collector est le logiciel de préservation d’e-mails de l’éditeur Metaspike. Il acquiert les boîtes aux lettres là où elles se trouvent (Microsoft 365 et Exchange, Gmail et Google Workspace, ou tout serveur IMAP), s’y connecte en lecture seule et n’écrit rien sur la source.

Ce qui le sépare d’un simple client de messagerie tient à ce qu’il conserve autour du message : les métadonnées de serveur qui authentifient la preuve, les pièces jointes stockées sur Google Drive, OneDrive et SharePoint, et les calendriers, contacts et notes. Chaque opération est journalisée pour le dossier, et la collecte s’exporte aux formats MSG et PST. Les projets qu’il produit s’ouvrent dans Forensic Email Intelligence.

Le logiciel embarque les profils de connexion (nom d’hôte, protocole, port et réglages SSL) de plusieurs centaines de fournisseurs de messagerie, et se configure seul par Autodiscover sur un serveur Exchange dont l’adresse du service n’est pas connue. La recherche peut être menée côté serveur avant toute collecte, ce qui permet de ne préserver que ce qui relève du dossier lorsqu’une acquisition complète n’est ni possible ni proportionnée.

Il arrive souvent que collecter une boîte aux lettres dans son intégralité ne soit pas envisageable, souvent pour des raisons de confidentialité ou de délai. À l’inverse, les flux de travail de l’e-discovery et de l’investigation numérique passent souvent par une collecte complète, suivie de recherches après acquisition.

Forensic Email Collector résout ce problème autrement. Les recherches se lancent instantanément sur place, dans les boîtes aux lettres restées sur le serveur, et seuls les résultats sont préservés de manière forensique. Aucun libellé à créer, aucun document à marquer, aucune modification de la boîte aux lettres cible.

Une liste de termes ou d’expressions se charge depuis un fichier, et un rapport du nombre de correspondances, ligne par ligne, s’obtient en quelques clics.

Les fichiers attachés à un e-mail sous forme de lien vers un espace de stockage cloud compliquent la préservation forensique. Ces pièces jointes demandent le plus souvent une authentification et deviennent inaccessibles si elles ne sont pas traitées dans le cadre de l’acquisition initiale.

Forensic Email Collector détecte et acquiert automatiquement les pièces jointes Microsoft OneDrive et SharePoint, ainsi que les pièces jointes Google Drive et leurs révisions. Les éléments cloud préservés sont restitués proprement avec leur e-mail parent, ce qui conserve les relations parent-enfant.

S’authentifier auprès de la boîte aux lettres cible est souvent le premier obstacle de l’acquisition. Forensic Email Collector le lève avec trois options complémentaires.

Authentification moderne

FEC prend en charge l’authentification moderne par OAuth 2.0 avec Microsoft 365, Gmail et Google Workspace, Yahoo et AOL, ainsi qu’avec les comptes grand public de Microsoft tels que Hotmail et Outlook.com. Les flux d’authentification multifacteur et les solutions d’authentification unique (SSO) comme Okta sont donc pris en charge, sans avoir à activer l’option « accès pour les applications moins sécurisées ».

Authentification à distance

Avec le module FEC Remote Authenticator, les détenteurs de données authentifient eux-mêmes FEC auprès de leurs comptes Gmail, Google Workspace, Microsoft 365 et Microsoft grand public, depuis leur propre ordinateur, Mac ou PC. Ils voient précisément à quelles données FEC accède et peuvent révoquer cet accès une fois l’acquisition terminée. Aucun mot de passe n’est partagé.

Authentification d’entreprise

Acquérir un grand nombre de boîtes aux lettres d’une même organisation n’oblige ni à connaître le mot de passe de chacun, ni à courir après les utilisateurs pour obtenir un jeton d’authentification : FEC permet d’utiliser un seul jeu d’identifiants de niveau administrateur pour accéder aux boîtes des utilisateurs, à l’acquisition depuis Google Workspace, Microsoft 365 ou un Exchange sur site.

Forensic Email Collector se connecte à la plupart des serveurs de messagerie et des messageries cloud. La préservation forensique des e-mails ne se limite pas à IMAP ou POP.

Forensic Email Collector a été conçu en pensant à l’acte final : le tribunal. À chaque acquisition, FEC capture les métadonnées du serveur : UID IMAP, identifiants de message et de fil Gmail, dates internes, et de nombreuses propriétés MAPI des serveurs Exchange. Ces valeurs sont ensuite décodées et présentées clairement, au service de l’enquête.

Un horodatage peut se cacher dans un identifiant de fil : mieux vaut le savoir avant de rédiger un rapport d’expert.

Certaines des organisations les plus prestigieuses du monde (des services d’enquête aux cabinets d’avocats, en passant par les entreprises et les prestataires de services) font confiance à Forensic Email Collector pour sécuriser la preuve dans des dossiers déterminants.

Sa précision, sa fiabilité et ses performances en font l’outil de référence des professionnels, de la collecte d’une seule boîte aux lettres aux projets de préservation à l’échelle d’une entreprise entière.

Forensic Email Collector ne s’arrête pas aux e-mails. Il acquiert également, de manière forensique, les événements de Google Agenda, ainsi que les rendez-vous, les contacts et les notes des serveurs Exchange.

Comme les e-mails, ces éléments s’exportent aux formats MSG et PST, et aux formats génériques iCalendar (.ics) et vCard (.vcf) selon le type d’élément.