Digital etterforskning undersøker hva som skjedde etter en sikkerhetshendelse. Etterforskere samler inn bevis fra disker, minne, nettverkslogger og mobile enheter. De oppbevarer det nøye slik at det holder i retten. Arbeidet er delvis teknisk, delvis prosedyremessig. Et enkelt feilhåndtert trinn kan gjøre bevis ugyldige. Sporbarhetskjede, skriveblokkering og hashverifisering er standard praksis.

Etterforskningen svarer på spørsmål. Hvordan kom angriperen seg inn? Hva fikk de tilgang til? Hvor lenge var de inne? Ekstraherte de data? Svarene former responsen og den juridiske strategien. Rettsmedisin støtter også hendelsesrespons. Å forstå angrepet bidrar til å begrense det og forhindre gjentakelse. Verktøyene spenner fra kommersielle pakker som EnCase og FTK til åpen kildekode-alternativer som Autopsy og Volatility. Minneetterforskning er spesielt verdifull fordi skadelig programvare ofte bare finnes i RAM og ikke etterlater spor på disken. Mobil rettsmedisin er sin egen spesialitet, med krypterte enheter og skybaserte sikkerhetskopier som øker kompleksiteten. Feltet henger alltid etter. Nye enheter, nye operativsystemer og nye krypteringsordninger skaper nye utfordringer. Etterforskere tilpasser seg.

Rettsmedisinske beviskilder

• Diskbilder – filer, slettede data og artefakter
• Minnedumper – kjørende prosesser og skadelig programvare i RAM
• Nettverkslogger – trafikkmønstre og tilkoblinger
• Mobile enheter – meldinger, apper og posisjonsdata

Rettsmedisin handler ikke bare om å fange kriminelle. Det handler om å forstå hva som skjedde, slik at det ikke skjer igjen.