Digitaal forensisch onderzoeks proces

Het forensisch ict onderzoek bestaat uit de hierna volgende zorgvuldig gedocumenteerde methode en gebeurd volgens de hoogste normen voor het verzamelen van bewijsmateriaal. Iedere stap wordt gedocumenteerd en kan later door anderen worden gecontroleerd.

Project voorbereiding

Samen met een onderzoeker van Kroll Ontrack, die fungeert als projectmanager, wordt de vraagstelling verder uitgewerkt en het plan van aanpak bepaald. Eerst wordt bepaald welke databronnen relevante sporen en bewijs kunnen bevatten om deze zo snel mogelijk zeker te stellen. Servers, logfiles van netwerkverkeer bevatten ook vaak cruciale informatie.

Eerst analyse

Tijdens de eerste analyse worden de geïdentificeerde databronnen onderzocht of deze mogelijk ter zake doende informatie bevatten. Hiervoor worden exacte forensische “bit for bit” kopieën gemaakt van de media. Dit wordt verzekerd door een unieke digital checksum (md 5 hash). Hiermee wordt de integriteit van de data gewaarborgd waardoor het als bewijsmateriaal kan dienen. De data collectie kan plaatsvinden op locatie of in een van onze specialistische laboratoria. Computers, servers of routers moeten off line gedurende deze werkzaamheden. In het laboratorium kan ook data van eventueel moedwillig beschadigde media worden zeker gesteld.

Keyword search

Omdat het vaak om enorme hoeveelheden data gaat wordt getracht door middel van een keyword search aan de hand van zo concreet mogelijke criteria (bijvoorbeeld persoonsnamen en tijdvak) de hoeveelheid hits en nader te doorzoeken data zo veel mogelijk in te perken. In zo`n keyword search worden met behulp van speciale tools zowel zichtbare data als verwijderde data (voor zover niet overschreven) meegenomen. Dit levert vaak belangrijke sporen op.

Rapportage

De uitkomst van deze stap is een rapport en een medium met de resultaten die inzicht geven wat er op de verschillende databronnen te vinden is. Het rapport documenteert de verschillende fases van het proces, beschrijft de toegepaste procedures en geeft een overzicht over de resultaten. Het bevat ook onze opmerkingen, conclusies en eventuele suggesties indien aanvullende maatregelen of onderzoeken noodzakelijk zijn. Het rapport bevat al het relevante bewijs dat onze analyses en conclusies ondersteunt. Kroll ontrack kan ook optreden als Getuige-deskundige.

Computer Forensics Investigations

Onder leiding van een project-team

Een onderzoeker van Kroll Ontrack fungeert altijd als actieve projectmanager. We begeleiden de klant gedurende het gehele proces van het verzamelen en het analyseren van gegevens om te waarborgen dat het doel van het onderzoek wordt bereikt.