Bewijsbehoud en chain of custody

Elk commando dat je uitvoert, verandert het systeem. Vermijd het herstarten van een gecompromitteerde host (RAM gaat verloren) en geef de voorkeur aan hulpmiddelen voor verzamelen die alleen-lezen zijn. Documenteer elke actie die je uitvoert, zodat onderzoekers activiteiten van aanvallers kunnen onderscheiden van activiteiten van behandelaars.

Werk met een bit-voor-bit-kopie, nooit met het origineel. Leg de volledige schijf vast en, waar mogelijk, ook het geheugen, zodat de analyse de bron nooit aanraakt.

Een cryptografische hash bewijst dat de image niet is gewijzigd. Leg de hash vast tijdens het verzamelen; iedereen kan later opnieuw hashen om de integriteit te controleren.

Een bewakingsketen is een ononderbroken, gedocumenteerd overzicht van wie het bewijsmateriaal heeft behandeld, wanneer, waarom en hoe het is opgeslagen. Eén ongedocumenteerde onderbreking kan bewijsmateriaal onontvankelijk maken.

Registreer elke overdracht met tijdstempel, persoon en doel. Houd het register alleen-aanvullend.

Bewaar bewijsmateriaal met beperkte toegang, versleuteling van gegevens in rust en schrijfbeveiliging. Beperk wie het kan aanraken en registreer elke toegang. Hoe minder handen eraan komen, hoe sterker de keten.

Forensische tijdlijnen zijn afhankelijk van nauwkeurige klokken. Registreer de tijdzone, noteer een eventuele klokafwijking op de getroffen host en verwijs naar een gezaghebbende tijdsbron, zodat gebeurtenissen uit verschillende systemen kunnen worden gecorreleerd.

Inperking en het bewaren van bewijsmateriaal kunnen botsen: een host offline halen stopt de aanvaller, maar laat de actieve toestand verloren gaan. Het compromis is om eerst vluchtige gegevens vast te leggen (geheugen, verbindingen) en daarna te isoleren.

Alles samengebracht wanneer je een inbreuk ontdekt:

• Leg vluchtige gegevens vast in volgorde van vluchtigheid
• Maak alleen-lezen-images van schijven en bereken hun hashes
• Begin onmiddellijk een register van de bewakingsketen
• Bewaar alles veilig met beperkte toegang
• Ga daarna verder met de inperking

Je hebt geleerd digitaal bewijsmateriaal op de juiste manier te bewaren.

• Verzamel materiaal volgens de volgorde van vluchtigheid en voorkom vervuiling
• Maak alleen-lezen-images en bereken hashes voor de integriteit
• Houd een ononderbroken bewakingsketen bij
• Bewaar alles veilig en breng snelheid en behoud in balans