Digitalna forenzika

Področje se deli na forenziko računalnikov in strežnikov, mobilnih naprav, omrežnega prometa, oblačnih storitev in delovnega pomnilnika, sem pa sodi tudi analiza vgrajenih sistemov in vozil. Skupno vsem je isto pravilo: delo poteka na preverjenih kopijah, vsak korak je dokumentiran, ugotovitev pa je jasno ločena od razlage.

Postopek se začne z identifikacijo in zavarovanjem — napravo je treba izolirati, preprečiti oddaljeni izbris in se odločiti, ali je zaradi hlapljivih podatkov potreben zajem na delujočem sistemu. Sledi zajem z zapisovalno zaščito in izračunom zgoščenih vrednosti, nato analiza: metapodatki datotečnega sistema, sistemski in aplikacijski dnevniki, sledi uporabe, obnovitev izbrisanih podatkov, izdelava časovnice dogodkov in povezovanje virov med seboj. Zaključi se s poročilom, ki mora biti razumljivo tudi nestrokovnemu bralcu.

Metoda ima jasne meje. Šifriranje, hramba podatkov v oblaku zunaj nadzora organizacije, kratki roki hrambe dnevnikov in možnost oddaljenega izbrisa lahko naredijo podatke nedosegljive. Enako pomembna je pravna meja: pregled naprav in računov zaposlenih je obdelava osebnih podatkov, zato potrebuje pravno podlago, mora biti sorazmeren in vnaprej opredeljen po obsegu, praviloma pa mora biti urejen z internim aktom, s katerim so zaposleni seznanjeni. Zasebna komunikacija uživa dodatno varstvo.

V praksi je forenzika reaktivni del odzivanja na incident in je tesno povezana z njim. Med zajezitvijo incidenta in ohranjanjem dokazov pogosto obstaja nasprotje — ponovni zagon ali čiščenje sistema lahko uniči sledi — zato je treba vnaprej določiti, kateri cilj ima prednost pri kateri vrsti primera. Z dokazi se ravna po pravilih verige skrbništva, ne glede na to, ali bo primer končal na sodišču.