Forensisch onderzoek voor doe-het-zelvers
Het uitvoeren van forensisch onderzoek is meestal alleen weggelegd voor grote bedrijven die het kostenplaatje kunnen veroorloven. Maar wat als je als school of kleine onderneming digitaal bewijsmateriaal wilt veiligstellen? Craig Ball beschrijft in dit artikel verschillende eenvoudige manieren die iedereen kan toepassen. De eerste methode is het klonen van de harde schijf met een programma die ook niet gealloceerde clusters kopieert.
De tweede methode om geknoei met digitaal bewijs te voorkomen is het toepassen van write blockers, en het gebruik van tools zoals Pro-Discover Basic Edition en AccessData's FTK Imager. Ondanks de eenvoud van zijn stappen, raadt Ball als het mogelijk is om een forensische expert in te huren, aangezien dit de veiligste oplossing is.
het is de enige manier om er voor te zorgen dat er het
materiaal sowieso de rechtzaal in komt. Een door een
hobbyist gecapturede image wordt niet als bewijsmateriaal
gezien.
hobbyprojectje om wat ervaring op te doen.
helft dekken wat zelfs een school kan doen. Een beetje
forensisch onderzoek kijkt naar de benodigde forensische
gegevens en de prioriteiten. Het veiligstellen van de op een
harddisk geschreven data geeft geen goede weergave van de
werkelijke gebeurtenissen. Het veel meer vluchtige bewijs
gaat met de 'oplossing' verloren terwijl dat juist de meeste
aanknopingspunten geeft om het onderzoek nuttig te maken. De
voeding uit het systeem trekken is wel het laatste wat je
moet doen. Ook voor amateurs of minder professioneel
voorziende organisaties. Een onderzoek start je in de eerste
plaats al niet voor niets, doe het dan goed genoeg. Perfect
of professioneel is een ander verhaal.
Het inhuren van een forensisch expert is niet het veiligste,
het is de enige manier om er voor te zorgen dat er het
materiaal sowieso de rechtzaal in komt. Een door een
hobbyist gecapturede image wordt niet als bewijsmateriaal
gezien.
Natuurlijk wel. Er is echter een verschil in bewijs afkomstig van
bijvoorbeeld het NFI of een ander laboratorium.
Volgens de wet is werk van een hobbyist ook prima bewijsmateriaal.
Vergelijk het met de getuigenis door een politieagent ten op zichte van een
burger ten op zichte van een crimineel. Alle 3 kunnen bewijs leveren in de
vorm van een getuigenis.
Dat zijn dus halfbakken maatregelen die nog niet eens de
helft dekken wat zelfs een school kan doen. Een beetje
forensisch onderzoek kijkt naar de benodigde forensische
gegevens en de prioriteiten. Het veiligstellen van de op een harddisk
geschreven data geeft geen goede weergave van de werkelijke
gebeurtenissen. Het veel meer vluchtige bewijs gaat met de 'oplossing'
verloren terwijl dat juist de meeste aanknopingspunten geeft om het
onderzoek nuttig te maken. De voeding uit het systeem trekken is wel het
laatste wat je moet doen. Ook voor amateurs of minder professioneel
voorziende organisaties. Een onderzoek start je in de eerste plaats al niet
voor niets, doe het dan goed genoeg. Perfect of professioneel is een ander
verhaal.
Hangt van je onderzoek af. Soms moet je inderdaad "Live" kijken, maar op
een draaiende systeem een injectie doen van iets kan er voor zorgen dat
het onderzoek niet meer betrouwbaar is.
handleidingen aangeraden zodat de temp files en de swapfile niet
worden gewist op het moment dat een werkende pc in beslag wordt
genomen. Waarom zou een forensische expert dat niet mogen
doen?
Het inhuren van een forensisch expert is niet het veiligste,
het is de enige manier om er voor te zorgen dat er het
materiaal sowieso de rechtzaal in komt. Een door een
hobbyist gecapturede image wordt niet als bewijsmateriaal
gezien.
Natuurlijk wel. Er is echter een verschil in bewijs
afkomstig van
bijvoorbeeld het NFI of een ander laboratorium.
Volgens de wet is werk van een hobbyist ook prima
bewijsmateriaal.
Volgens de letter van de wet, zeker. Maar ik heb in zo veel
rechtzaken door hobbyisten verzameld bewijs gewoon ter zijde
geschoven zien worden omdat ze allerhande domme fouten
maakten, dat ik er niet zo'n hoge pet meer van op heb.
Het inhuren van een forensisch expert is niet het veiligste,
het is de enige manier om er voor te zorgen dat er het
materiaal sowieso de rechtzaal in komt. Een door een
hobbyist gecapturede image wordt niet als bewijsmateriaal
gezien.
Natuurlijk wel. Er is echter een verschil in bewijs
afkomstig van
bijvoorbeeld het NFI of een ander laboratorium.
Volgens de wet is werk van een hobbyist ook prima
bewijsmateriaal.
Volgens de letter van de wet, zeker. Maar ik heb in zo veel
rechtzaken door hobbyisten verzameld bewijs gewoon ter zijde
geschoven zien worden omdat ze allerhande domme fouten
maakten, dat ik er niet zo'n hoge pet meer van op heb.
Ik weet niet welke zaken jij dan op doelt. Maar als we het dicht bij huis
houden, Nederland, dan valt dat wel mee. Er is een groot verschil met de
Verenigde Staten in recht, gebruik van bewijs.
Het gaat hier immers bij een rechtzaak doorgaans om het aannemelijk
maken van een feit. Dat is voor een rechter al snel het geval.
officieren van justitie. Tonino was de landelijk fraude officier van
justitie en desondanks niet bekend met forensische IT. Te dom om
zijn pc te wissen alvorens het bij het vuil te zetten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
