Samenvatting
Computer Forensics en Gegevensbeheer
Forensisch Onderzoek
Inhoud
Onderwerp Pagina
Leerdoelen 3
Computer forensics 5
1 Forensic Computing 6
2 Interpretation of Raw Data 9
3 Sources of digital evidence 17
4 File systems 20
Gegevensbeheer 24
5 Database modelling 25
6 ERD 29
7 SQL (data manipulation) 31
8 SQL (data querying) 33
Leerdoelen
Computer Forensics
1 Forensic Computing
De student kan:
• de processtappen van digitaal forensisch onderzoek beschrijven.
• het werkveld van digitaal forensisch onderzoeker omschrijven.
• verschillende type digitaal forensisch onderzoek onderscheiden
• digitale gegevensdragers identificeren.
• plaats delict en plaats incident onderscheiden.
• digitale gegevensdragers veiligstellen.
• de toepassing van een writeblocker omschrijven.
• de toepassing van een kooi van faraday omschrijven.
• het begrip hash analysis omschrijven.
• van digitale data een cryptografische hash bepalen
2 Interpretation of Raw Data
De student kan:
,Computer Forensics en Gegevensbeheer Maureen Marsman
2019-2020 Forensisch Onderzoek
• digitale data analyseren.
• de begrippen bit, byte, nibble, word en dword herkennen.
• decimaal, binair en hexadecimaal rekenen.
• kan verschillende karaktersets onderscheiden.
• het begrip metadata omschrijven.
• voorbeelden geven van metadata in relatie tot digitale sporen.
• EXIF data uit een digitale afbeelding veredelen.
• het begrip signature analysis beschrijven.
• bestandskenmerken zoals extensie, header en footer duiden
3 Sources of Digital Evidence
De student kan:
• het begrip order of volatility duiden
• begrippen BIOS en CMOS onderscheiden
• Random Access Memory en Read-Only Memory onderscheiden
• in elke memory laag voorbeelden van digitale sporen geven
• de componenten van een harddisk benoemen
• een harddisk en een solid state disk onderscheiden
• de aansluitingen zoals SATA en IDE van een harddisk benoemen
• expertise inschakelen voor harddisk recovery
4 File Systems
De student kan:
• de begrippen bestandssysteem en besturingssysteem onderscheiden
• kan verschillende besturingssystemen benoemen
• kan verschillende bestandssystemen benoemen
• op generiek niveau de werking van een bestandssysteem omschrijven
• de begrippen sector en cluster omschrijven
• de begrippen File Slack, RAM slack en Residual Data duiden
Databases
Alle slides en links onder het kopje ‘Voorbereiden’ op BlackBoard moet je kennen. Voor SQL hoeft de
exacte grammatica niet uit het hoofd geleerd te worden. Wel moet je zonder grammatica bijgeleverd
een SQL query kunnen begrijpen.
2
, Computer Forensics en Gegevensbeheer Maureen Marsman
2019-2020 Forensisch Onderzoek
1 Forensic Computing
Software
Verschillende software wordt gebruikt bij forensic computing. Denk aan FTK of X-Ways. Soms is
traditionele software niet genoeg, dan moet er gebruik worden gemaakt van open source tools als
WinHex of Autopsy.
Proces
Het proces gaat met de volgende stappen: identificatie (verzamelen), veiligstellen (acquisitie),
analyse (herstellen) en rapporteren (presenteren). Het is een iteratief proces, dit houdt in dat het
zich kan herhalen.
Identificatie
Identificatie heeft te maken met de hardware, dit is een fysiek onderdeel of apparaat, ook wel een
‘gegevensdrager’. Hierop staat vluchtig geheugen (RAM) en niet-vluchtig geheugen (HDD). Van
hardware zijn er verschillende formaten, fysiek, maar ook op gebied van capaciteit (bijvoorbeeld 1
Gigabyte = 20.000 A4 pagina’s
Voorbeeld:
• Identificatie:
o “Je ziet op PD naast de notebook een SD geheugenkaart liggen”
• Analyse:
o “Je ziet bij het analyseren van de data van een notebook dat er wordt verwezen naar
data op een USB-Stick”
Law & procedures
Guidelines
De ACPO (Association of Police Chief Officers) heeft de forensische markt geprivatiseerd. De Good
Practice Guide for Digital Evidence bevat richtlijnen voor het omgaan met digitale sporen.
Er zijn vier basisregels:
• Geen actie mag wijzigingen aanbrengen in de digitale sporen;
• In sommige omstandigheden is het aanbrengen van wijzigingen noodzakelijk, de onderzoeker
moet competent zijn en uitleg geven van alle bevindingen, handelingen en gevolgen daarvan
• Een audit trail of logboek van alle processen rondom digitale sporen wordt bijgehouden. Een
onafhankelijke partij kan hierdoor de processen en resultaten verifiëren en reproduceren;
• De uitvoerend onderzoeker heeft de verantwoordelijkheid dat het onderzoek volgens de
geldende wet en regelgeving wordt uitgevoerd.
Regulations
De ISO, ACPO en FT-Normen geven een regelgeving, het zijn geen wetten. Soms moet er van deze
regels afgeweken kunnen worden. De FT-Norm schrijft voor dat data gedupliceerd wordt opgeslagen.
Chain of Custody
Dit is het logboek van het onderzoeksproces. Het doel hiervan is het geven van transparantie, het
reproduceerbaar maken van het onderzoek en verantwoording. In het logboek worden handelingen
schriftelijk vastgelegd en foto’s of video’s van handelingen worden gemaakt.
Crime Scene
Digitale sporen kunnen ontstaan of verdwijnen op een PD, er is dus spoed bij het digitaal onderzoek.
3
Computer Forensics en Gegevensbeheer
Forensisch Onderzoek
Inhoud
Onderwerp Pagina
Leerdoelen 3
Computer forensics 5
1 Forensic Computing 6
2 Interpretation of Raw Data 9
3 Sources of digital evidence 17
4 File systems 20
Gegevensbeheer 24
5 Database modelling 25
6 ERD 29
7 SQL (data manipulation) 31
8 SQL (data querying) 33
Leerdoelen
Computer Forensics
1 Forensic Computing
De student kan:
• de processtappen van digitaal forensisch onderzoek beschrijven.
• het werkveld van digitaal forensisch onderzoeker omschrijven.
• verschillende type digitaal forensisch onderzoek onderscheiden
• digitale gegevensdragers identificeren.
• plaats delict en plaats incident onderscheiden.
• digitale gegevensdragers veiligstellen.
• de toepassing van een writeblocker omschrijven.
• de toepassing van een kooi van faraday omschrijven.
• het begrip hash analysis omschrijven.
• van digitale data een cryptografische hash bepalen
2 Interpretation of Raw Data
De student kan:
,Computer Forensics en Gegevensbeheer Maureen Marsman
2019-2020 Forensisch Onderzoek
• digitale data analyseren.
• de begrippen bit, byte, nibble, word en dword herkennen.
• decimaal, binair en hexadecimaal rekenen.
• kan verschillende karaktersets onderscheiden.
• het begrip metadata omschrijven.
• voorbeelden geven van metadata in relatie tot digitale sporen.
• EXIF data uit een digitale afbeelding veredelen.
• het begrip signature analysis beschrijven.
• bestandskenmerken zoals extensie, header en footer duiden
3 Sources of Digital Evidence
De student kan:
• het begrip order of volatility duiden
• begrippen BIOS en CMOS onderscheiden
• Random Access Memory en Read-Only Memory onderscheiden
• in elke memory laag voorbeelden van digitale sporen geven
• de componenten van een harddisk benoemen
• een harddisk en een solid state disk onderscheiden
• de aansluitingen zoals SATA en IDE van een harddisk benoemen
• expertise inschakelen voor harddisk recovery
4 File Systems
De student kan:
• de begrippen bestandssysteem en besturingssysteem onderscheiden
• kan verschillende besturingssystemen benoemen
• kan verschillende bestandssystemen benoemen
• op generiek niveau de werking van een bestandssysteem omschrijven
• de begrippen sector en cluster omschrijven
• de begrippen File Slack, RAM slack en Residual Data duiden
Databases
Alle slides en links onder het kopje ‘Voorbereiden’ op BlackBoard moet je kennen. Voor SQL hoeft de
exacte grammatica niet uit het hoofd geleerd te worden. Wel moet je zonder grammatica bijgeleverd
een SQL query kunnen begrijpen.
2
, Computer Forensics en Gegevensbeheer Maureen Marsman
2019-2020 Forensisch Onderzoek
1 Forensic Computing
Software
Verschillende software wordt gebruikt bij forensic computing. Denk aan FTK of X-Ways. Soms is
traditionele software niet genoeg, dan moet er gebruik worden gemaakt van open source tools als
WinHex of Autopsy.
Proces
Het proces gaat met de volgende stappen: identificatie (verzamelen), veiligstellen (acquisitie),
analyse (herstellen) en rapporteren (presenteren). Het is een iteratief proces, dit houdt in dat het
zich kan herhalen.
Identificatie
Identificatie heeft te maken met de hardware, dit is een fysiek onderdeel of apparaat, ook wel een
‘gegevensdrager’. Hierop staat vluchtig geheugen (RAM) en niet-vluchtig geheugen (HDD). Van
hardware zijn er verschillende formaten, fysiek, maar ook op gebied van capaciteit (bijvoorbeeld 1
Gigabyte = 20.000 A4 pagina’s
Voorbeeld:
• Identificatie:
o “Je ziet op PD naast de notebook een SD geheugenkaart liggen”
• Analyse:
o “Je ziet bij het analyseren van de data van een notebook dat er wordt verwezen naar
data op een USB-Stick”
Law & procedures
Guidelines
De ACPO (Association of Police Chief Officers) heeft de forensische markt geprivatiseerd. De Good
Practice Guide for Digital Evidence bevat richtlijnen voor het omgaan met digitale sporen.
Er zijn vier basisregels:
• Geen actie mag wijzigingen aanbrengen in de digitale sporen;
• In sommige omstandigheden is het aanbrengen van wijzigingen noodzakelijk, de onderzoeker
moet competent zijn en uitleg geven van alle bevindingen, handelingen en gevolgen daarvan
• Een audit trail of logboek van alle processen rondom digitale sporen wordt bijgehouden. Een
onafhankelijke partij kan hierdoor de processen en resultaten verifiëren en reproduceren;
• De uitvoerend onderzoeker heeft de verantwoordelijkheid dat het onderzoek volgens de
geldende wet en regelgeving wordt uitgevoerd.
Regulations
De ISO, ACPO en FT-Normen geven een regelgeving, het zijn geen wetten. Soms moet er van deze
regels afgeweken kunnen worden. De FT-Norm schrijft voor dat data gedupliceerd wordt opgeslagen.
Chain of Custody
Dit is het logboek van het onderzoeksproces. Het doel hiervan is het geven van transparantie, het
reproduceerbaar maken van het onderzoek en verantwoording. In het logboek worden handelingen
schriftelijk vastgelegd en foto’s of video’s van handelingen worden gemaakt.
Crime Scene
Digitale sporen kunnen ontstaan of verdwijnen op een PD, er is dus spoed bij het digitaal onderzoek.
3
