Forensisch IT-onderzoek is het uitzoeken van wat er precies gebeurd is na een digitaal incident. Onderzoekers verzamelen sporen uit logbestanden, geheugendumps, e-mailservers en schijfkopieen, en zetten die op een tijdlijn. De uitkomst beantwoordt drie vragen: hoe kwam de aanvaller binnen, wat heeft hij gedaan, en welke gegevens zijn ingezien of meegenomen.
Voor een MKB-bedrijf is dat geen luxe maar vaak een verplichting. Bij een datalek moet je binnen 72 uur aan de Autoriteit Persoonsgegevens melden welke gegevens geraakt zijn en hoeveel mensen het betreft. Zonder onderzoek kun je dat niet onderbouwen en moet je uit voorzorg het slechtste scenario melden. Ook je verzekeraar en je klanten willen weten wat er is gebeurd. En zonder te weten hoe de aanvaller binnenkwam, loop je het risico dat hij het gat opnieuw gebruikt.
De belangrijkste regel: verstoor de sporen niet. De reflex om een besmette pc meteen opnieuw te installeren wist precies het bewijs dat je nodig hebt. Isoleer het apparaat van het netwerk, laat het aan staan als dat kan, en bel je IT-partner voordat je gaat opruimen. Goed onderzoek valt of staat met logging die je vooraf hebt ingericht: bewaar logs van je firewall, e-mailomgeving en werkplekken minimaal een paar maanden, anders is er straks simpelweg niets te onderzoeken.
Wat OkayICT hierin doet: Wij zorgen dat logging vooraf op orde is en begeleiden je bij een incident, zodat je weet wat er is gebeurd en wat je moet melden.
Meer lezen: Wat is een datalek? · Wat is een incident response plan?
