Dijital adli tıp, bir güvenlik olayından sonra neler olduğunu araştırır. Araştırmacılar, disklerden, bellekten, ağ günlüklerinden ve mobil cihazlardan kanıt toplar. Bu kanıtları mahkemede geçerli olabilmesi için dikkatlice muhafaza ederler. Çalışma kısmen teknik, kısmen de prosedüreldir. Tek bir yanlış adım, kanıtın kabul edilemez hale gelmesine neden olabilir. Delil zinciri, yazma engelleyiciler ve karma doğrulama standart uygulamalardır.

Soruşturma sorulara cevap veriyor. Saldırgan nasıl içeri girdi? Nelere erişti? Ne kadar süre içeride kaldı? Veri sızdırdı mı? Cevaplar, müdahale ve yasal stratejiyi şekillendiriyor. Adli bilişim ayrıca olay müdahalesini de destekliyor. Saldırıyı anlamak, onu kontrol altına almaya ve tekrarını önlemeye yardımcı olur. Araçlar, EnCase ve FTK gibi ticari paketlerden Autopsy ve Volatility gibi açık kaynaklı seçeneklere kadar çeşitlilik gösteriyor. Bellek adli bilişimi özellikle değerlidir çünkü kötü amaçlı yazılımlar genellikle yalnızca RAM'de yaşar ve diskte hiçbir iz bırakmaz. Mobil adli bilişim, şifrelenmiş cihazlar ve bulut yedeklemeleriyle karmaşıklığı artıran ayrı bir uzmanlık alanıdır. Alan her zaman geride kalıyor. Yeni cihazlar, yeni işletim sistemleri ve yeni şifreleme şemaları yeni zorluklar yaratıyor. Araştırmacılar uyum sağlıyor.

Adli tıp kanıt kaynakları

• Disk görüntüleri — dosyalar, silinmiş veriler ve kalıntılar
• Bellek dökümleri — RAM'de çalışan işlemler ve kötü amaçlı yazılımlar
• Ağ günlükleri — trafik modelleri ve bağlantılar
• Mobil cihazlar — mesajlar, uygulamalar ve konum verileri

Adli bilimler sadece suçluları yakalamakla ilgili değildir. Olanları anlamak ve bir daha tekrarlanmamasını sağlamakla ilgilidir.