Digitaal Forensisch Onderzoek

Criminelen gebruiken steeds vaker computers om misdrijven te plegen. Als bedrijf kunt u daarvan het slachtoffer worden waarbij de gevolgen vaak lastig te voorspellen zijn. Soms is het slechts een vermoeden van een misdrijf en moet worden vastgesteld of er daadwerkelijk een incident heeft plaatsgevonden.

In veel gevallen is een digitaal forensisch onderzoek nodig om vast te stellen wat er is gebeurd. Bijvoorbeeld als u een datalek vermoedt, of een hack van buitenaf. Maar ook om te onderzoeken of intellectueel eigendom is ontvreemd of wanneer een medewerker verdacht wordt van het lekken van bedrijfsgeheimen.

Ontdek meer over Digitaal Forensisch Onderzoek:

1. Wat is digitaal forensisch onderzoek?
2. Welke types digitaal forensisch onderzoek bestaan er?
3. Het proces van een digitaal forensisch onderzoek.
4. De aanpak van Secura voor een succesvol onderzoek.
5. Hoe kan Secura u helpen?

Secura is geregistreerd als Particulier Onderzoeksbureau bij het ministerie van Justitie en Veiligheid en heeft medewerkers die gekwalificeerd particulier digitaal onderzoeker zijn. Hierdoor is Secura in staat om rapportages en bescheiden af te geven die gebruikt kunnen worden in juridische procedures.

Wat is Digitaal Forensisch Onderzoek?

Vrijwel alle organisaties zijn tegenwoordig afhankelijk van informatietechnologie (IT). Door deze ontwikkelingen ontstaan potentieel kwetsbare systemen die vaak ook nog met elkaar in verbinding staan en daardoor nieuwe risico’s met zich mee brengen. Net als in de fysieke wereld is het belangrijk deze digitale wereld te beschermen tegen ongeoorloofd gebruik en maatregelen te nemen om vast te kunnen stellen wat er bij een bepaald systeem gebeurd is. Digitaal forensisch onderzoek is het vakgebied dat zich bezighoudt met het opsporen en reconstrueren van incidenten in digitale systemen.

Digitaal onderzoek is essentieel om te kunnen leren van incidenten die zich hebben voorgedaan en incidenten in de toekomst te voorkomen. Gebruikers van informatiesystemen laten namelijk digitale sporen achter wanneer ze de systemen gebruiken - of het nu gaat om computersystemen, smartphones, mobiele telefoons, tablets of netwerken. Er zijn digitale forensische tools en technieken beschikbaar voor het veiligstellen en analyseren van digitaal bewijsmateriaal. Digitale forensische tools en technieken kunnen ook worden gebruikt om bijvoorbeeld verloren bestanden te herstellen of om interne systemen te monitoren.

Digitaal forensisch onderzoek wordt voornamelijk gebruikt voor onderzoeken die zijn gericht op juridische of wetshandhavingskwesties die mogelijk of waarschijnlijk voor de rechter zullen eindigen; vandaar de nadruk op juridische aanvaardbaarheid. Digitaal bewijs is uiterst vluchtig en kan gemakkelijk verloren gaan of worden aangepast bij onzorgvuldig handelen. Het is dus nodig om digitaal bewijsmateriaal te bewaren en te behandelen op een manier die ervoor zorgt dat het niet wordt vervormd of vernietigd.

Digitaal forensisch onderzoek is een vakgebied dat nog in ontwikkeling is. Het kan worden gedefinieerd als het gebruik van computer- en informatiesysteemkennis, in combinatie met juridische kennis, om op een juridisch aanvaardbare manier digitaal bewijsmateriaal dat is verkregen, verwerkt en opgeslagen op een wettelijk aanvaardbare manier te analyseren.

Welke types Digitaal Forensisch Onderzoek zijn mogelijk?

Er bestaan een aantal types van digitaal forensisch onderzoek. Afhankelijk van uw casus zal worden bepaald welke types het meest geschikt zijn. Daarnaast kunnen ook adviestrajecten worden uitgevoerd, bijvoorbeeld om te kijken hoe goed een organisatie is voorbereid op een eventueel incident. Hieronder worden de 5 meest gangbare onderzoeksmethodes toegelicht:

1. Digitaal Forensisch Sporenonderzoek
2. Onderzoek Mobiele Apparaten
3. E-mailonderzoek
4. Onderzoek Cloud-omgevingen AWS & Azure
5. Digital Forensic Readiness

Digitaal Forensisch Sporenonderzoek

Een digitaal forensisch sporenonderzoek kan uitsluitsel geven over de onderstaande situaties:

• Is ongeoorloofde toegang tot mijn systemen verkregen?
• Hebben zich ongeoorloofde activiteiten voorgedaan in mijn organisatie?
• Zijn gevoelige gegevens weggesluisd of anderszins verkregen tijdens een security incident?
• Is gebruik gemaakt van specifieke kwetsbaarheden in software of systemen, en hoe is dat gedaan?

Onderzoek Mobiele Apparaten

Smartphones en tablets zijn niet meer weg te denken uit het dagelijks leven en worden gebruikt voor verschillende zakelijke toepassingen. Met digitaal forensisch onderzoek is het mogelijk om dergelijke apparaten grondig te onderzoeken en verschillende sporen te analyseren. Hierbij valt te denken aan:

E-mailonderzoek

Het onderzoeken van e-mails van een medewerker kan deel uitmaken van het digitaal forensisch onderzoek. Met behulp van gespecialiseerde software is men in staat om (verwijderde) mails inclusief bijlages inzichtelijk te maken en de communicatie met verschillende partijen in kaart te brengen. Soms kan dit middel ook worden gebruikt om vast te stellen of bijvoorbeeld malware via e-mail is verspreid.

Onderzoek Cloud-omgevingen AWS & Azure

Het gebruik van cloud-diensten zoals Amazon Web Services (AWS) en Microsoft Azure wordt steeds meer gemeengoed in zakelijke IT-infrastructuren. Secura is in staat om forensische onderzoeken ook op dergelijke omgevingen uit te voeren. Hierbij valt te denken aan het onderzoeken van virtual machines en de bijbehorende logging van verschillende AWS en Azure diensten.

Digital Forensic Readiness

Proces Digitaal Forensisch Onderzoek

Een digitaal forensisch onderzoek bestaat uit de volgende zeven fases:

Fase 1: Voorbereiding

In de eerste fase van een forensisch onderzoek wordt een onderzoeksomgeving (crime lab) opgezet. Onder de onderzoeksomgeving vallen de infrastructuur, hardware, software, het logboek en handelingsprotocollen, zoals vaststellen wie eindverantwoordelijk is. In deze fase vindt ook het vooronderzoek plaats en wordt het plan van aanpak opgesteld. Hierin wordt vastgesteld wat er wordt onderzocht, wat de hoofdvraag- en deelvragen zijn en of er hypotheses kunnen worden opgesteld. Uiteraard altijd in overleg met de opdrachtgever.

Fase 2: Verwerving

In deze fase van het forensisch onderzoek wordt de onderzoeksdata verkregen of veiliggesteld. Dit wordt meestal gedaan door middel van `Imaging'. Het veiligstellen van onderzoeksdata wordt beschreven en toestemming zal worden vastgelegd in een verklaring. Alle verdere onderzoeksactiviteiten worden op deze forensische kopieën uitgevoerd. De originele gegevensdragers blijven onaangeroerd.

Fase 3: Verwerking

De processtappen verwerking en analyse kunnen simultaan plaatsvinden. In deze fases wordt data geïdentificeerd, worden bestandstypes herkend, worden bestanden ontsleuteld en indien mogelijk zullen bestanden worden `ontdubbeld'.

Fase 4: Analyse

Tijdens een forensisch onderzoek is het gebruikelijk een tijdlijn op te stellen. Door middel van een tijdlijn wordt een overzicht opgesteld waarmee mogelijke verbanden worden gelegd tussen uitgevoerde acties. Tijd en datum zijn de meest kritieke onderdelen in forensisch proces. Daartoe zal data in gespecialiseerde software
worden geïndexeerd om sneller te worden geanalyseerd. Hieruit zal een tijdlijn van gebeurtenissen worden opgesteld (zoals bijvoorbeeld wie wanneer was ingelogd op het systeem, wanneer welke programma’s zijn opgestart, wanneer welke websites zijn bezocht etc.).

Fase 5: Verificatie

Tijdens de verificatie-fase zal worden geverifieerd of vermeend bewijs ook daadwerkelijk als bewijs te gebruiken is. Data moet terug te redeneren zijn naar de bron en worden gekoppeld aan een verdachte of verdachte activiteit. In deze stap worden de conclusies uit de analyse gevalideerd.

Fase 6: Presentatie

In deze fase zal het rapport worden gedeeld en kunnen bevindingen worden gepresenteerd. Eventuele verklaringen van getuigen zullen in deze fase worden besproken. Indien er inderdaad sprake is van een mogelijk misdrijf, worden bevindingen opgesteld die gebruikt kunnen worden in een strafrechtelijk onderzoek.

Fase 7: Archivering

In de laatste fase van het forensisch proces zal archivering plaatsvinden. Onderzoeksdata, bewijs, software en hardware kunnen worden opgeslagen. Wanneer inderdaad een strafrechtelijk onderzoek zal plaatsvinden, dan moet de beschikbaarheid van deze informatie voldoen aan de wetgeving.

De aanpak van een succesvol digitaal forensisch onderzoek

Belangrijk om te noemen is dat Secura in haar onderzoeken beperkt is door de mate waarin logging en sporen beschikbaar zijn op de te onderzoeken gegevensdragers. Het komt voor dat tijdens een onderzoek moet worden vastgesteld dat er reeds eerder sporen zijn gewist of verloren zijn gegaan. Er kunnen dan ook geen garanties worden gegeven over het al dan niet definitief kunnen vaststellen wat er is gebeurd. Verder is het belangrijk om te weten dat Secura geen Incident Response (IR) activiteiten ontplooit waarbij een actieve aanval wordt bestreden.

Hoe kan Secura u helpen?

Secura biedt de hierboven vermelde verschillende types digitaal forensisch onderzoek aan. Heeft u interesse in het uitvoeren van één of meerdere van deze digitaal forensisch onderzoeken of heeft u vragen over wat wij hierin kunnen betekenen voor u? Wij helpen u graag verder! Bel ons op 088 888 3100 of stuur een mail naar info@secura.com.