Digitale forensische wetenschap onderzoekt wat er is gebeurd na een beveiligingsincident. Onderzoekers verzamelen bewijsmateriaal van schijven, geheugen, netwerklogboeken en mobiele apparaten. Ze bewaren dit zorgvuldig, zodat het standhoudt in de rechtbank. Het werk is deels technisch, deels procedureel. Een enkele fout kan bewijsmateriaal ontoelaatbaar maken. Het waarborgen van de bewijsketen, het blokkeren van schrijfbewerkingen en hashverificatie zijn standaardpraktijken.

Het onderzoek beantwoordt vragen. Hoe is de aanvaller binnengekomen? Waartoe hebben ze toegang gekregen? Hoe lang waren ze binnen? Hebben ze gegevens gestolen? De antwoorden bepalen de reactie en de juridische strategie. Forensisch onderzoek ondersteunt ook de incidentrespons. Inzicht in de aanval helpt om deze in te dammen en herhaling te voorkomen. De tools variëren van commerciële softwarepakketten zoals EnCase en FTK tot open-source opties zoals Autopsy en Volatility. Geheugenforensisch onderzoek is bijzonder waardevol omdat malware vaak alleen in het RAM-geheugen aanwezig is en geen spoor achterlaat op de schijf. Mobiel forensisch onderzoek is een specialisme op zich, waarbij versleutelde apparaten en cloudback-ups de complexiteit vergroten. Het vakgebied loopt altijd achter. Nieuwe apparaten, nieuwe besturingssystemen en nieuwe versleutelingsschema's creëren nieuwe uitdagingen. Onderzoekers passen zich aan.

Forensische bewijsbronnen

• Schijfkopieën — bestanden, verwijderde gegevens en artefacten
• Geheugendumps — actieve processen en malware in het RAM-geheugen
• Netwerklogboeken — verkeerspatronen en verbindingen
• Mobiele apparaten — berichten, apps en locatiegegevens

Forensisch onderzoek gaat niet alleen over het opsporen van criminelen. Het gaat erom te begrijpen wat er is gebeurd, zodat het niet opnieuw gebeurt.