Điều tra pháp y kỹ thuật số nghiên cứu những gì đã xảy ra sau một sự cố an ninh. Các nhà điều tra thu thập bằng chứng từ ổ đĩa, bộ nhớ, nhật ký mạng và thiết bị di động. Họ bảo quản chúng cẩn thận để đảm bảo tính xác thực trước tòa. Công việc này vừa mang tính kỹ thuật, vừa mang tính thủ tục. Một bước sai sót nhỏ cũng có thể khiến bằng chứng không được chấp nhận. Chuỗi bằng chứng, thiết bị chặn ghi và xác minh mã băm là những quy trình tiêu chuẩn.

Cuộc điều tra trả lời các câu hỏi. Kẻ tấn công đã xâm nhập bằng cách nào? Chúng đã truy cập những gì? Chúng ở bên trong bao lâu? Chúng có đánh cắp dữ liệu không? Câu trả lời sẽ định hình phản ứng và chiến lược pháp lý. Pháp y cũng hỗ trợ ứng phó sự cố. Hiểu rõ cuộc tấn công giúp ngăn chặn nó và phòng ngừa tái diễn. Các công cụ bao gồm các bộ phần mềm thương mại như EnCase và FTK, cũng như các tùy chọn mã nguồn mở như Autopsy và Volatility. Pháp y bộ nhớ đặc biệt có giá trị vì phần mềm độc hại thường chỉ tồn tại trong RAM và không để lại dấu vết trên ổ đĩa. Pháp y thiết bị di động là một chuyên ngành riêng, với các thiết bị được mã hóa và sao lưu đám mây làm tăng thêm độ phức tạp. Lĩnh vực này luôn đi sau xu hướng. Các thiết bị mới, hệ điều hành mới và các phương pháp mã hóa mới tạo ra những thách thức mới. Các nhà điều tra phải thích nghi.

Nguồn bằng chứng pháp y

• Ảnh đĩa — các tập tin, dữ liệu đã xóa và các thành phần khác.
• Ảnh chụp bộ nhớ — các tiến trình đang chạy và phần mềm độc hại trong RAM
• Nhật ký mạng — mô hình lưu lượng truy cập và kết nối
• Thiết bị di động — tin nhắn, ứng dụng và dữ liệu vị trí

Khoa học pháp y không chỉ đơn thuần là bắt giữ tội phạm. Nó còn là việc tìm hiểu điều gì đã xảy ra để những sự việc tương tự không tái diễn.