Cyber forensics (ook wel digitale forensics of computerforensica genoemd) is de wetenschap van het verzamelen, analyseren en bewaken van digitaal bewijsmateriaal op een manier die juridisch geldig is.
Simpel gezegd: het is het digitale equivalent van een sporenonderzoek op een plaats delict. Waar een traditionele rechercheur zoekt naar vingerafdrukken en DNA, zoekt een cyber forensicus naar verborgen bestanden, logboeken en digitale voetafdrukken.
Waar wordt het voor gebruikt?
Cyber forensics wordt ingezet bij verschillende soorten incidenten en misrijven:
- Cybercriminaliteit: Onderzoek naar hackpogingen, ransomware-aanvallen, datalekken en phishing.
- Bedrijfsfraude: Opsporen van intellectueel eigendom diefstal, verduistering van geld of ongeoorloofde toegang door (ex-)werknemers.
- Strafrecht: Onderzoek naar ‘traditionele’ misrijven (zoals moord of drugshandel) waarbij bewijsmateriaal op smartphones, laptops of in de cloud staat.
Het Forensische Proces
Een cyber-forensisch onderzoeker volgt altijd een strikt protocol om ervoor te zorgen dat het bewijs in de rechtszaal standhoudt. Dit proces bestaat meestal uit vier stappen:
1. Identificatie en Veiligstelling
De onderzoeker identificeert welke apparaten (harde schijven, telefoons, servers, USB-sticks) relevant zijn. Vervolgens wordt er een exacte bit-voor-bit kopie (image) van de gegevens gemaakt. Er wordt nooit direct op het originele apparaat gewerkt om te voorkomen dat er data wordt overschreven.
2. Preservatie (Bewaring)
Om te bewijzen dat er niet met de data is geknoeid, krijgt de kopie een unieke digitale vingerafdruk, een zogenaamde hash-waarde (bijvoorbeeld via SHA-256). Als er ook maar één letter in de data verandert, verandert de hash-waarde, wat direct duidt op manipulatie.
3. Analyse
Dit is het detectivewerk. De onderzoeker gebruikt speciale software om te zoeken naar:
- Verwijderde bestanden (die vaak nog op de harde schijf staan zolang ze niet zijn overschreven).
- Metagegevens (wanneer is een bestand gemaakt, gewijzigd of geopend?).
- Systeemlogboeken (welke USB-sticks zijn ingeplugd, welke websites zijn bezocht?).
- Verstopplekken (data verborgen in afbeeldingen of onzichtbare mappen).
4. Rapportage
De bevindingen worden helder opgeschreven in een officieel rapport. Dit rapport moet begrijpelijk zijn voor rechters, advocaten en juryleden die zelf geen technische achtergrond hebben.
Het verschil met Cyber Security:
Waar cyber security zich richt op het voorkomen en stoppen van een aanval (de sloten op de deur en de alarmen), richt cyber forensics zich op wat er ná de aanval gebeurt. Het beantwoordt de vragen: Wie zat erachter, hoe kwamen ze binnen en wat hebben ze meegenomen?Wil je meer weten over een specifiek onderdeel hiervan, zoals hoe ze verwijderde app-jes terugvinden, of ben je gewoon benieuwd naar het vakgebied?
