Digitální forenzní analýza vyšetřuje, co se stalo po bezpečnostním incidentu. Vyšetřovatelé shromažďují důkazy z disků, paměti, síťových protokolů a mobilních zařízení. Pečlivě je uchovávají, aby obstály u soudu. Práce je zčásti technická, zčásti procedurální. Jediný špatně provedený krok může učinit důkazy nepřípustnými. Standardní praxí je řetězec úschovy, blokování zápisu a ověřování hashů.

Vyšetřování odpovídá na otázky. Jak se útočník dostal dovnitř? K čemu měl přístup? Jak dlouho byl uvnitř? Ukradl data? Odpovědi formují reakci a právní strategii. Forenzní analýza také podporuje reakci na incidenty. Pochopení útoku pomáhá jej omezit a zabránit jeho opakování. Nástroje sahají od komerčních balíčků, jako jsou EnCase a FTK, až po open-source řešení, jako jsou Autopsy a Volatility. Forenzní analýza paměti je obzvláště cenná, protože malware se často nachází pouze v paměti RAM a na disku nezanechává žádné stopy. Mobilní forenzní analýza je její vlastní specializací, přičemž šifrovaná zařízení a cloudové zálohy zvyšují složitost. Tento obor je vždy pozadu. Nová zařízení, nové operační systémy a nová šifrovací schémata vytvářejí nové výzvy. Vyšetřovatelé se přizpůsobují.

Zdroje forenzních důkazů

• Obrazy disků – soubory, smazaná data a artefakty
• Výpisy paměti – spuštěné procesy a malware v paměti RAM
• Síťové protokoly – vzorce provozu a připojení
• Mobilní zařízení – zprávy, aplikace a údaje o poloze

Forenzní věda není jen o dopadení zločinců. Jde o pochopení toho, co se stalo, aby se to už neopakovalo.