Digital forensik undersöker vad som hände efter en säkerhetsincident. Utredare samlar in bevis från diskar, minne, nätverksloggar och mobila enheter. De bevarar dem noggrant så att de håller i domstol. Arbetet är delvis tekniskt, delvis processuellt. Ett enda felaktigt hanterat steg kan göra bevis otillåtliga. Spårbarhetskedja, skrivblockerare och hashverifiering är standardpraxis.

Utredningen besvarar frågor. Hur tog sig angriparen in? Vad fick de tillgång till? Hur länge var de inne? Ströp de data? Svaren formar responsen och den juridiska strategin. Forensik stöder också incidenter. Att förstå attacken hjälper till att begränsa den och förhindra upprepning. Verktygen sträcker sig från kommersiella programsviter som EnCase och FTK till öppen källkod som Autopsy och Volatility. Minnesforskning är särskilt värdefull eftersom skadlig kod ofta bara finns i RAM-minne och inte lämnar några spår på disken. Mobil forensik är sin egen specialitet, där krypterade enheter och molnsäkerhetskopior ökar komplexiteten. Fältet ligger alltid efter. Nya enheter, nya operativsystem och nya krypteringsscheman skapar nya utmaningar. Utredarna anpassar sig.

Rättsmedicinska beviskällor

• Diskbilder — filer, raderad data och artefakter
• Minnesdumpar — körda processer och skadlig kod i RAM-minnet
• Nätverksloggar — trafikmönster och anslutningar
• Mobila enheter – meddelanden, appar och platsdata

Rättsmedicin handlar inte bara om att gripa brottslingar. Det handlar om att förstå vad som hände så att det inte händer igen.