Digitaal Sporenonderzoek
Uit Wikipedia, de vrije encyclopedie
Digitaal Sporenonderzoek is onderzoek naar digitale sporen en gegevens die op andere wijze niet mogelijk waren om te achterhalen. Digitale sporen worden in Nederland beschouwd als indirect bewijs en zullen dus op zichzelfstaand niet tot een veroordeling leiden.
Inhoud |
[bewerk] Digitale sporen
Digitale sporen is een allesomvattend begrip, alles wat digitaal is en wat kan bijdragen aan het oplossen van een delict kan worden gezien als digitaal spoor. Een paar voorbeelden:
- Data op een computer c.q. laptop, waaronder documenten, foto's of andere bestanden die relevant zijn voor een onderzoek.
- Surfgedrag op internet.
- E-mailverkeer.
- Websites.
- (de-)centrale databases.
- Telefoonverkeer.
- Peilgegevens van een GSM of PDA.
- Gegevens uit een GSM of PDA.
- Logbestanden van een provider/server.
Al deze gegevens kunnen ertoe bijdragen dat een zaak wordt opgelost en moeten dus worden verzameld en verwerkt. Hierbij is zowel discretie als gedocumenteerd werken een belangrijke factor, want er kan immers met de gegevens geknoeid zijn of worden.
[bewerk] Geschiedenis
Sinds de jaren tachtig is met de opkomst van de computers, laptops, PDA's en internet en de verdere digitalisering van alle gegevens behoefte gekomen aan onderzoek naar deze media en het gebruik hiervan bij het plannen en uitvoeren van criminele activiteiten. In begin was dit alleen passief onderzoek, meestal met bij huiszoeking aangetroffen apparatuur, tegenwoordig sporen digitale rechercheurs echter ook actief op internet naar strafbare feiten. Ook dit hoort bij digitaal sporenonderzoek, immers alles wat thuis op internet gebeurt wordt ergens geregistreerd. Deze gegevens kunnen worden gebruikt om schuld of onschuld aan te tonen en zijn dus net zo van belang als documenten en foto's op papier.
In 1989 is bij het NFI een speciale afdeling opgericht met als doel deze informatie en gegevensdragers te verzamelen, uit te lezen, te documenteren en te interpreteren. Deze afdeling is gespecialiseerd in het uitlezen van alle digitale apparatuur, doch soms komt het voor dat ook deze mensen niet in staat zijn om bepaalde gegevens uit te lezen. In dat geval zal desbetreffende fabrikant verzocht worden om het eigen laboratorium ter beschikking te stellen van het onderzoek en de gegevens (zo mogelijk) uit te lezen.
[bewerk] Hardware
De meeste digitale gegevensdragers vallen onder de zogenaamde hardware, een aantal voorbeelden van methoden om gegevens van deze apparatuur af te halen kan men hieronder lezen.
[bewerk] Gewiste gegevensdragers
- Om gewiste gegevens terug te halen van digitale gegevensdragers als harde schijven, flashdisks en geheugenkaartjes kan men allereerst proberen om het apparaat rechtstreeks uit te lezen. Uit veiligheidsoverweging wordt dit altijd gedaan op een computer die vers is geïnstalleerd en niet is aangesloten op andere pc's, om eventuele schade door virussen e.d. te voorkomen. Indien de gegevensdrager dermate defect is, wordt deze uit elkaar gehaald en in een speciale lezer geplaatst. Dit kan met alle gegevensdragers, van flashgeheugen tot de losse schijven uit een harde schijf. Als alle data is opgehaald kan men gaan proberen om de bestanden weer 'in elkaar te zetten'. Een gewiste harde schijf is immers nooit leeg, maar er wordt slechts een markering geplaatst dat het deel weer 'vrij' is en weer beschreven kan worden. Door dit bitje te verwijderen, kan alles weer ingelezen worden. Op deze wijze kan een gebruiker thuis ook een per ongeluk gewiste schijf terughalen. Er zijn ook methoden om een schijf grondiger te wissen, echter zelfs dan zijn er nog methoden afhankelijk van de grondigheid van de wis-sessie om de gegevens weer terug te halen en te reconstrueren.
[bewerk] Defecte gegevensdragers
- Ook in defecte gegevensdragers kan vaak nog veel informatie worden gevonden. De gegevensdrager zelf wordt uit elkaar gehaald en de onderdelen die data kunnen bevatten worden door een speciaal laboratorium op gegevens onderzocht.
[bewerk] Versleutelde gegevensdragers
- Versleuteling is tegenwoordig meer regel dan uitzondering en een heleboel mensen en bedrijven maken, al dan niet onbewust, gebruik van een of meerdere vormen van encryptie. Dit kan een simpele vorm van versleuteling zijn, of een geavanceerde RSA-encryptie. Indien de forensische onderzoekers vermoeden hebben dat er bruikbare informatie in de versleutelde bestanden zit, dan zullen ze de betreffende bestanden moeten decrypten, ofwel ontsleutelen. Hier zijn diverse methodes voor, een bekende vorm is de bruteforcemethode, waarbij er door middel van het uitproberen van alle (!) mogelijke combinaties zal worden getracht de bestanden te ontcijferen.
[bewerk] Digitale criminaliteit
Ook bij het inbreken op bedrijfsnetwerken komt de digitale recherche in actie, zij zal dan proberen uit te zoeken waar de aanval vandaan kwam en of hiertegen actie kan worden ondernomen. De recherche zal proberen om via de provider de logbestanden van de verbinding op te vragen en vervolgens kijken of men uit deze logs de inbreker kan halen. Hoe drukker het netwerk, hoe moeilijker dit wordt. Indien de aanval is geïsoleerd, zal men proberen om de herkomst te traceren en kijken of dit binnen de jurisdictie valt van de politie in Nederland, of dat men met een buitenlandse aanval te maken heeft. Uiteraard staat u ook dan niet machteloos, want voor het internet bestaan geen grenzen, en binnen de westerse landen bestaat er dan ook een gerede kans dat de dader gepakt wordt. Ook fraude met creditcards wordt gezien als digitale criminaliteit, er wordt immers gebruikgemaakt van een digitale kaart of diens gegevens.
[bewerk] Links
- (nl) NFI - NFI (Nederlands Forensisch Instituut).
- (nl) Justitie - Justitie.
- (nl) ISC - ICT Services Coöperatie (ISC) Politie ICT-voorziening.
- (en) Interpol - Interpol Forensics.
- (nl) Tulp2G - Opensourcesoftware voor het uitlezen van mobiele telefoons (ontwikkeld door het NFI).
- (en) Sleuthkit - Een opensourceprogramma voor het onderzoeken van een computer.
