Informatyka śledcza bada, co wydarzyło się po incydencie bezpieczeństwa. Śledczy gromadzą dowody z dysków, pamięci, logów sieciowych i urządzeń mobilnych. Starannie je przechowują, aby zachowały się w sądzie. Praca ma charakter częściowo techniczny, a częściowo proceduralny. Jeden nieudolny krok może spowodować, że dowody staną się niedopuszczalne. Łańcuch dostaw, blokady zapisu i weryfikacja skrótów to standardowe praktyki.

Śledztwo odpowiada na pytania. Jak atakujący dostał się do systemu? Do czego uzyskał dostęp? Jak długo przebywał w systemie? Czy wykradł dane? Odpowiedzi kształtują reakcję i strategię prawną. Kryminalistyka wspiera również reagowanie na incydenty. Zrozumienie ataku pomaga go powstrzymać i zapobiec jego powtórzeniu. Narzędzia obejmują pakiety komercyjne, takie jak EnCase i FTK, a także rozwiązania open source, takie jak Autopsy i Volatility. Kryminalistyka pamięci jest szczególnie cenna, ponieważ złośliwe oprogramowanie często żyje tylko w pamięci RAM i nie pozostawia śladu na dysku. Kryminalistyka urządzeń mobilnych to osobna specjalność, a szyfrowane urządzenia i kopie zapasowe w chmurze dodatkowo komplikują sprawę. Ta dziedzina zawsze pozostaje w tyle. Nowe urządzenia, nowe systemy operacyjne i nowe schematy szyfrowania stwarzają nowe wyzwania. Śledczy adaptują się.

Źródła dowodów kryminalistycznych

• Obrazy dysków — pliki, usunięte dane i artefakty
• Zrzuty pamięci — uruchomione procesy i złośliwe oprogramowanie w pamięci RAM
• Rejestry sieciowe — wzorce ruchu i połączenia
• Urządzenia mobilne — wiadomości, aplikacje i dane o lokalizacji

Kryminalistyka nie polega tylko na łapaniu przestępców. Chodzi o zrozumienie, co się stało, aby to się nie powtórzyło.