Werken als Digital Forensics Specialist

Wat doet een Digital Forensics Specialist?

Een Digital Forensics Specialist onderzoekt wat er op digitale systemen is gebeurd en maakt de bevindingen zo vast dat een ander ze kan nalopen. Het gaat om laptops, servers, telefoons, cloudomgevingen en logboeken. Het werk is gericht op bewijs: wat is er gebeurd, wanneer, via welk account of apparaat, en hoe zeker is dat? De specialist trekt geen conclusies verder dan het materiaal toelaat. Het werk hoort bij het vakgebied security operations en komt terug in de skill digital forensics.

In het European Cybersecurity Skills Framework van ENISA heet het profiel Digital Forensics Investigator. De samenvatting van dat profiel gaat over onderzoek naar cybercriminaliteit: alle digitale bewijsstukken moeten boven water komen om de kwaadaardige activiteit aan te tonen.

Neem een organisatie die vermoedt dat een vertrekkende medewerker bestanden heeft meegenomen. De specialist maakt een volledige kopie van de laptop, rekent een controlesom uit en werkt verder op die kopie. Daarna volgt een tijdlijn: wanneer is een USB-schijf aangesloten, welke bestanden zijn geopend, is er iets naar een persoonlijke clouddienst gegaan, en is er iets verwijderd. Het verslag zegt wat is gevonden en ook wat niet. De beslissing over maatregelen ligt bij de opdrachtgever. Dit onderzoek raakt aan privacy en arbeidsrecht, en bij sommige organisaties spreken ze vooraf af wie zo'n onderzoek mag laten starten. Voor de privacykant van onderzoek aan apparaten van medewerkers is de AVG-pagina voor privacy-professionals een goede start.

Het tweede type opdracht begint na een incident. De organisatie wil weten hoe de aanvaller binnenkwam, hoe lang die aanwezig was en welke gegevens zijn aangeraakt. De specialist onderzoekt logboeken en de getroffen systemen en geeft de bevindingen door aan het incidentteam. Bij een datalek helpt dit om vast te stellen wat er is gebeurd. De melding zelf valt onder de meldplicht voor datalekken. Bij sommige organisaties hoort dit werk bij het incidentteam, bij andere bij een gespecialiseerd team of een extern bureau.

Een gewone week is een wisseling van taken: de ene dag een kopie maken en controleren, de volgende dag uren in de analyse, daarna een rapport schrijven, een gesprek met de opdrachtgever of het incidentteam, en bewijs veilig bewaren. Het werk kan veel geduld vragen, met pieken wanneer er een incident loopt.

Een onderzoek van begin tot eind

Het NIST-model voor digitaal forensisch onderzoek (SP 800-86, augustus 2006) kent vier fasen. In elke fase doet de specialist een ander werk.

1. Verzamelen. De specialist identificeert gegevens over een gebeurtenis, labelt en legt ze vast en verzamelt ze, met behoud van de integriteit. Vluchtige gegevens, die verloren gaan bij uitschakelen of na verloop van tijd, krijgen in veel gevallen voorrang boven niet-vluchtige gegevens.
2. Onderzoeken. Met forensische hulpmiddelen en technieken haalt de specialist de relevante informatie uit de verzamelde gegevens, zonder de integriteit aan te tasten.
3. Analyseren. De specialist gebruikt de resultaten om de vragen te beantwoorden die aanleiding waren voor het onderzoek.
4. Rapporteren. De resultaten worden vastgelegd, en de specialist kan verbeteringen voor beleid, procedures en hulpmiddelen aanbevelen.

Na het verzamelen controleert de specialist de integriteit van de gegevens, doorgaans door van het origineel en de kopie een controlesom te berekenen en die te vergelijken. Het origineel blijft daarna ongewijzigd en het onderzoek gebeurt op de kopie.

De bewijsketen (chain of custody) maakt later zichtbaar wie het bewijs wanneer in handen had en wat die persoon deed. Het bewijs wordt veilig bewaard en elke overdracht wordt vastgelegd. Zonder die administratie kan een goede bevinding alsnog onbruikbaar zijn. NIST noemt dit een eenvoudig model en zegt dat organisaties de exacte stappen naar eigen inzicht inrichten. Het is geen volledige stap-voor-stapgids. De methoden hebben zich sinds de publicatie verder ontwikkeld.

Welke taken horen bij de functie?

ENISA beschrijft zes hoofdtaken voor het profiel. Het is een Europees kader en geen functieomschrijving van een werkgever.

• Beleid en procedures opstellen. Je ontwikkelt het beleid, de plannen en de procedures voor digitaal forensisch onderzoek.
• Bewijs vinden en uitlezen. Je identificeert, herstelt, leest uit, legt vast en analyseert digitaal bewijs.
• Bewijs bewaren. Je beschermt het bewijs en stelt het beschikbaar aan wie daarvoor bevoegd is.
• Omgevingen controleren. Je zoekt in systemen naar sporen van onbevoegde en onwettige handelingen.
• Bevindingen vastleggen. Je legt de resultaten systematisch en herhaalbaar vast, rapporteert ze en presenteert ze.
• Technieken kiezen. Je kiest en past forensische test-, analyse- en rapportagetechnieken aan op de zaak.

Het profiel noemt twee opleverproducten: de "Digital Forensics Analysis Results" (de resultaten van de forensische analyse) en het "Electronic Evidence" (het elektronisch bewijs).

Welke skills heb je nodig?

ENISA noemt vijf kernvaardigheden voor het profiel. Je werkt ethisch en onafhankelijk, ongeacht wat interne of externe partijen willen. Je verzamelt informatie zonder de integriteit te schaden. Je herkent cyberveiligheidsgebeurtenissen, analyseert ze en legt ze met elkaar in verband. Je legt digitaal bewijs eenvoudig en begrijpelijk uit. En je schrijft gedetailleerde, beredeneerde onderzoeksrapporten.

Het profiel noemt onder meer kennis van standaarden en methodologieën voor digitale forensica, van wet- en regelgeving rond cyberveiligheid, van hulpmiddelen voor malware-analyse, van aanvalsmethoden en van de beveiliging van besturingssystemen en netwerken. Daarnaast heb je een technische basis nodig: hoe besturingssystemen, bestandssystemen en netwerken werken.

Daarbij horen persoonlijke eigenschappen. Je bent nauwkeurig en geduldig, je schrijft alles op, en je scheidt wat je hebt waargenomen van wat je er zelf van vindt. Je durft ook te zeggen: dat kan ik hieruit niet afleiden.

Welke tools en technologie gebruikt een Digital Forensics Specialist?

Het gereedschap valt in een paar soorten. Apparatuur en software kopiëren een opslagmedium zonder het origineel te wijzigen, soms met een schrijfblokkade. Programma's doorzoeken bestanden, registers en logboeken. Ander gereedschap onderzoekt het geheugen, en weer andere software toont netwerkverkeer. Voor herhaalwerk schrijf je scripts.

Daarnaast horen er een paar vaardigheden bij. Wireshark gebruik je om netwerkverkeer te lezen. Wie Linux en Windows Server goed kent, heeft een voorsprong, omdat sporen op die systemen staan. Scripts schrijf je in PowerShell of Python. Welke forensische software een werkgever gebruikt, staat meestal in de vacature.

Welke opleiding en certificeringen passen bij een Digital Forensics Specialist?

Er is geen vaste opleidingseis. Je kunt starten met een hbo- of wo-opleiding in ICT of security, en zij-instroom uit systeembeheer, SOC, IT-audit of een incidentteam komt ook voor. ENISA noemt cybersecurity-certificeringen als kennisonderdeel van het profiel, zonder er één aan te wijzen.

Voor basiskennis is CompTIA Security+ een voorbeeld. Voor verdieping in forensica bestaan gespecialiseerde certificeringen. GIAC omschrijft de GCFE als bevestiging dat je gegevens van Windows-computersystemen kunt verzamelen en analyseren, met onder meer onderzoek naar browsers, e-mail, het register en USB-apparaten. De GCFA bevestigt volgens GIAC de beheersing van kernvaardigheden om gegevens in computersystemen te verzamelen en te analyseren, met onder meer geheugenforensica, tijdlijnanalyse en het opsporen van anti-forensische technieken.

Of een werkgever waarde hecht aan een certificering, verschilt. Een certificering laat zien dat je kennis hebt, maar ervaring vervangt het niet. Als je later breder wilt worden, kan de CISSP-certificering daarbij passen.

Hoe word je Digital Forensics Specialist?

Er zijn een paar routes. Je kunt via een hbo- of wo-opleiding in ICT of security starten. Je kunt ook instromen vanuit systeembeheer, een SOC, IT-audit of een incidentteam, en dan de forensische kant opbouwen. Soms komen mensen uit onderzoek bij opsporing, maar dat is een patroon en geen vaste route.

Je kunt zelf beginnen. Bouw een oefenomgeving, maak een kopie van een testschijf of een virtuele machine, onderzoek die en schrijf een tijdlijn met je bevindingen op. Oefen ook met logboeken. Je portfolio hoeft geen echte zaak te bevatten, wel een rapport dat een collega kan volgen. Wie al in een SOC of incidentteam werkt, kan een voorbeeld uit het eigen werk gebruiken, zonder vertrouwelijke gegevens. Wat je laat zien, is een nette rapportage waarin je waarneming en conclusie scheidt. Een vaste garantie op een baan is er niet.

Waar werk je als Digital Forensics Specialist?

Je vindt dit werk bij grotere organisaties met een eigen incidentteam, bij adviesbureaus die onderzoek voor anderen uitvoeren en bij organisaties rond overheid en opsporing. Dit zijn patronen, geen lijst. Het aanbod per sector verschilt. Kijk voor de financiële dienstverlening, de rijksoverheid en consultancy en data services naar de vacatures in die sector. Voor werkgevers met deze functie is er een werkgeverspagina voor Digital Forensics Specialists.

Digital Forensics Specialist of Incident Responder?

Het verschil zit in de vraag. De Incident Responder (zie ook de skill incident response) wil een lopend incident stoppen en herstellen. De Digital Forensics Specialist wil vaststellen wat er is gebeurd, op een manier die een ander kan nalopen. Het onderstaande overzicht is een hulpmiddel, geen belofte over hoe het bij een werkgever gaat.

Beide rollen hebben elkaar nodig, en de grens ligt per organisatie anders. In kleinere teams doet één persoon beide. De Malware Analyst onderzoekt één bestand of programma tot in detail, terwijl de forensisch specialist een systeem of omgeving en de gebeurtenissen daarop onderzoekt.

Doorgroei loopt naar de Incident Responder, de Malware Analyst of de Threat Hunter, en naar een senior of teamleider in een onderzoeksteam. Wie uit een SOC komt, vindt de rolgids voor de SOC Analist als vertrekpunt. Zie ook de vacatures voor SOC Analisten en de vacatures voor Threat Hunters.

Vacatures en werkgevers

Bekijk de vacatures voor Digital Forensics Specialists voor open functies. Werkgevers die deze functie zoeken, staan op de werkgeverspagina.