Digitaal forensisch onderzoek

De essentie van digitaal forensisch onderzoek is het vinden, analyseren en interpreteren van sporen die zich op digitaal materiaal bevinden op een zodanige manier dat de resultaten bruikbaar zijn voor de opsporing en bewijsvoering binnen de rechtspleging.

Bij digitaal bronmateriaal kan gedacht worden aan computers, computernetwerken en mailservers, maar ook aan gegevensdragers zoals USB-sticks, mobiele telefoons en navigatieapparatuur.Naast het op creatieve en wetenschappelijk verantwoorde wijze uitvoeren van een digitaal forensisch onderzoek is het van groot belang om methoden, technieken en software te gebruiken die algemeen geaccepteerd en goed bevonden zijn binnen de (digitaal) forensische wereld.

Digitaal forensisch onderzoek kan opgesplitst worden in een aantal onderzoeksstappen, die elk een schakel vormen in de ‘chain of custody’. Naargelang de opdracht en de onderzoeksvraag voert TMFI een of meer van de volgende onderzoeksstappen uit:

  • Forensische intake: een situatie wordt onderzocht waarbij relevante sporen zich op digitaal materiaal kunnen bevinden.
    TMFI adviseert welk digitaal materiaal sporen kan bevatten, hoe het materiaal onderzocht kan worden en welke onderzoeksvragen relevant kunnen zijn voor het onderzoek.
  • Verzamelen en veiligstellen digitaal sporenmateriaal: het digitaal bronmateriaal wordt verzameld en een forensische kopie wordt gemaakt. Het digitaal forensisch onderzoek wordt verder uitgevoerd op de forensische kopie.
  • Ontsluiten digitale data: de informatie op de forensische kopie wordt toegankelijk en inzichtelijk gemaakt.
  • Onderzoek, analyse en interpretatie van digitaal sporenmateriaal: de forensische kopie wordt onderzocht op de aanwezigheid van sporen die relevant zijn voor het beantwoorden van de onderzoeksvraag en de aangetroffen sporen worden geïnterpreteerd in hun context.


forensische intake

mogelijke vraagstellingen
Op welk digitaal bronmateriaal kunnen zich sporen bevinden? Hoe wordt het digitaal forensisch onderzoek uitgevoerd? 
resultaat 
Het resultaat is een plan van aanpak voor het uitvoeren van digitaal forensisch onderzoek.

verzamelen en veiligstellen digitaal sporenmateriaal

mogelijke vraagstellingen 
Op welk digitaal bronmateriaal kunnen zich sporen bevinden?
Het maken van een exacte kopie van het bronmateriaal op een forensisch correcte manier.
resultaat 
Het resultaat is een exacte kopie van het bronmateriaal. Er is bovendien de mogelijkheid tot opslag.

ontsluiten digitale data

mogelijke vraagstellingen 
Kan het digitale bronmateriaal inzichtelijk en doorzoekbaar gemaakt worden (met behulp van forensische software)?
Kunnen (resten van) verwijderde of deels overschreven bestanden met behulp van digitaal forensische technieken worden teruggehaald?
Kunnen digitale gegevens die versleuteld zijn ontcijferd worden?
Het ontsluiten van digitale informatie uit faxsystemen, kassasystemen, pinautomaten, togangscontrolesystemen, digitale camera’s, PDA’s, etc.
resultaat 
Het resultaat is het beschikbare en doorzoekbare digitaal sporenmateriaal (of wachtwoord).

onderzoek, analyse en interpretatie van digitaal sporenmateriaal


mogelijke vraagstellingen 
Bevinden zich digitale sporen op een gegevensdrager die relevant zijn voor het beantwoorden van de schuld-/ onderzoeksvraag?
Op welke locatie op het bronmateriaal is een spoor aangetroffen en wat betekent dit?
Het plaatsen in de tijd: Wanneer is het spoor aangemaakt en wat is er nog meer gebeurd rondom dat tijdstip?
Is het spoor/bewijsmateriaal gemanipuleerd?
Wie of wat is verantwoordelijk voor het bestaan van het spoor (kan het spoor gekoppeld worden aan een natuurlijke persoon)?
Kan een spoor gekoppeld worden aan een bepaalde gebeurtenis/actie?
Wanneer is een bestand aangemaakt?
Was een persoon ingelogd op een bepaald tijdstip?

onderzoek naar digitale inbraak (hacking)

mogelijke vraagstellingen
Is er sprake van digitale inbraak?
Hoe heeft een hackingaanval plaatsgevonden?
Is een computersysteem, netwerk of gegevensdrager gebruikt om bepaalde (illegale) acties uit te voeren?

onderzoek internetcommunicatie en netwerkverkeer

mogelijke vraagstellingen 
Is er sprake van identiteitsfraude met internetbankieren (phishing)?
Is er sprake van identiteitsfraude met pinautomaten (skimming)?
Is er sprake van het vervalsen (spoofen) van een IP-adres, e-mailadres, websites, e.d.
Onderzoeken van de herkomst en omvang van digitale identiteitsfraude en cybercriminaliteit.
Het onderzoeken van botnetwerken.