Un rapport qu’un autre peut refaire
Un rapport d’investigation numérique dit ce qui s’est passé, comment on le sait et ce que l’on ne sait pas. Un autre enquêteur doit pouvoir refaire chaque vérification et retrouver le même résultat.
Après l’affaire du portable de Nantes, la direction veut savoir si la responsable a fait une faute. Le rapport doit répondre avec des faits, pas avec des impressions.
À la fin de cette leçon
Remarque
Je peux écrire un rapport que d’autres peuvent vérifier.
Mots-clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Constatation | un fait observé, appuyé par une preuve | |
| Hypothèse | une explication possible, pas encore prouvée | |
| Référence | l’indication précise de la preuve qui appuie un fait | journal-serveur, ligne 214 |
| Périmètre | ce que l’enquête a examiné, et rien de plus | |
| Limite | ce que l’enquêteur n’a pas pu vérifier |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Un rapport suit toujours le même plan
Un plan fixe aide le lecteur à retrouver ce qu’il cherche. Chaque partie répond à une question.
Le périmètre dit ce qui a été examiné. Les limites disent ce qui ne l’a pas été. Ces deux parties protègent l’enquêteur autant que le lecteur.
Exemple travaillé : le plan d’un rapport
| Partie | Question à laquelle elle répond | Exemple |
|---|---|---|
| Résumé | Que s’est-il passé en deux phrases ? | Un programme inconnu a été lancé le 12 mars |
| Périmètre | Qu’a-t-on examiné ? | Le portable et les journaux du serveur |
| Chronologie | Dans quel ordre ? | Un tableau d’événements classés par heure |
| Constatations | Qu’a-t-on prouvé ? | Des faits, chacun avec sa référence |
| Limites | Que ne sait-on pas ? | Le journal du pare-feu n’a pas été fourni |
| Conclusion | Que retenir ? | Ce que les faits permettent de dire |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Chaque fait se cite avec sa preuve
Une constatation sans référence n’est qu’une affirmation. La référence dit où regarder : le fichier, la ligne, et l’empreinte du fichier à la collecte.
Le lecteur ouvre la même pièce, trouve la même ligne et vérifie. Voici deux gestes qui donnent une référence précise.
Numéroter la ligne qui contient un mot
grep -n owner case/mtimes.txtAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
La même chose sur un petit texte
printf 'ligne un\nligne deux\nligne trois\n' | grep -n deuxAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Exemple travaillé : un fait avec sa référence
| Élément | Ce qu’il contient |
|---|---|
| Le fait | Le compte lea s’est connecté à 08:14:02 |
| La pièce | journal-serveur.log |
| La ligne | Ligne 214 |
| L’empreinte à la collecte | 3f2a… (SHA-256, notée au registre) |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Erreur fréquente
Attention
Beaucoup de gens pensent qu’un rapport doit désigner un coupable. Un rapport établit des faits. Qui en est responsable est une autre question, et ce n’est pas la vôtre. Écrivez ce que les preuves montrent, et rien de plus.
Séparer le fait de l’hypothèse
Un fait a une référence et ne contient aucun doute. Une hypothèse est une explication possible : elle contient souvent « probablement », « semble » ou « peut-être ».
Les deux ont leur place, dans deux parties différentes. Le lecteur ne doit jamais prendre une hypothèse pour un fait.
Exemple travaillé : fait ou hypothèse
| Phrase | Nature | Pourquoi |
|---|---|---|
| La copie a la même empreinte que l’original [registre, page 2] | Fait | Une référence, aucun doute |
| Le programme vient probablement d’un courriel | Hypothèse | Un mot de doute, aucune référence |
| Le poste a été éteint à 17:40 | Hypothèse | Aucune référence, donc rien à vérifier |
| Il semble que le disque ait été vidé [rapport du technicien] | Hypothèse | Une référence, mais un doute |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Dire ce que l’on ne sait pas
Un bon rapport écrit ses limites : un journal manquant, une horloge non vérifiée, un disque que l’on n’a pas pu copier.
On note aussi l’empreinte du rapport lui-même. Si le texte change, l’empreinte change : le lecteur sait qu’il lit la bonne version.
L’empreinte d’une petite version du rapport
printf 'rapport v1\n' | sha256sumAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.