Samenvatting
Computer Forensics en Gegevensbeheer
Forensisch Onderzoek
2020-2021
EFO1V.C
Inhoud
Onderwerp Pagina
Leerdoelen 3
Computer forensics 5
1 Forensic Computing 6
2 Interpretation of Raw Data 9
3 Sources of digital evidence 17
4 File systems 20
Gegevensbeheer 24
5 Database modelling 25
6 ERD 29
7 SQL (data manipulation) 31
8 SQL (data querying) 33
,Computer Forensics en Gegevensbeheer
2019-2020 Forensisch Onderzoek
Leerdoelen
Computer Forensics
1 Forensic Computing
De student kan:
• de processtappen van digitaal forensisch onderzoek beschrijven.
• het werkveld van digitaal forensisch onderzoeker omschrijven.
• verschillende type digitaal forensisch onderzoek onderscheiden
• digitale gegevensdragers identificeren.
• plaats delict en plaats incident onderscheiden.
• digitale gegevensdragers veiligstellen.
• de toepassing van een writeblocker omschrijven.
• de toepassing van een kooi van faraday omschrijven.
• het begrip hash analysis omschrijven.
• van digitale data een cryptografische hash bepalen
2 Interpretation of Raw Data
De student kan:
• digitale data analyseren.
• de begrippen bit, byte, nibble, word en dword herkennen.
• decimaal, binair en hexadecimaal rekenen.
• kan verschillende karaktersets onderscheiden.
• het begrip metadata omschrijven.
• voorbeelden geven van metadata in relatie tot digitale sporen.
• EXIF data uit een digitale afbeelding veredelen.
• het begrip signature analysis beschrijven.
• bestandskenmerken zoals extensie, header en footer duiden
3 Sources of Digital Evidence
De student kan:
• het begrip order of volatility duiden
• begrippen BIOS en CMOS onderscheiden
• Random Access Memory en Read-Only Memory onderscheiden
• in elke memory laag voorbeelden van digitale sporen geven
• de componenten van een harddisk benoemen
• een harddisk en een solid state disk onderscheiden
• de aansluitingen zoals SATA en IDE van een harddisk benoemen
• expertise inschakelen voor harddisk recovery
2
, Computer Forensics en Gegevensbeheer
2019-2020 Forensisch Onderzoek
4 File Systems
De student kan:
• de begrippen bestandssysteem en besturingssysteem onderscheiden
• kan verschillende besturingssystemen benoemen
• kan verschillende bestandssystemen benoemen
• op generiek niveau de werking van een bestandssysteem omschrijven
• de begrippen sector en cluster omschrijven
• de begrippen File Slack, RAM slack en Residual Data duiden
Databases
Alle slides en links onder het kopje ‘Voorbereiden’ op BlackBoard moet je kennen. Voor SQL hoeft de
exacte grammatica niet uit het hoofd geleerd te worden. Wel moet je zonder grammatica bijgeleverd
een SQL query kunnen begrijpen.
1 Forensic Computing
Software
Verschillende software wordt gebruikt bij forensic computing. Denk aan FTK of X-Ways. Soms is
traditionele software niet genoeg, dan moet er gebruik worden gemaakt van open source tools als
WinHex of Autopsy.
Proces
Het proces gaat met de volgende stappen: identificatie (verzamelen), veiligstellen (acquisitie),
analyse (herstellen) en rapporteren (presenteren). Het is een iteratief proces, dit houdt in dat het
zich kan herhalen.
Identificatie
Identificatie heeft te maken met de hardware, dit is een fysiek onderdeel of apparaat, ook wel een
‘gegevensdrager’. Hierop staat vluchtig geheugen (RAM) en niet-vluchtig geheugen (HDD). Van
hardware zijn er verschillende formaten, fysiek, maar ook op gebied van capaciteit (bijvoorbeeld 1
Gigabyte = 20.000 A4 pagina’s
Voorbeeld:
• Identificatie:
o “Je ziet op PD naast de notebook een SD geheugenkaart liggen”
• Analyse:
o “Je ziet bij het analyseren van de data van een notebook dat er wordt verwezen naar
data op een USB-Stick”
Law & procedures
Guidelines
De ACPO (Association of Police Chief Officers) heeft de forensische markt geprivatiseerd. De Good
Practice Guide for Digital Evidence bevat richtlijnen voor het omgaan met digitale sporen.
Er zijn vier basisregels:
3
Computer Forensics en Gegevensbeheer
Forensisch Onderzoek
2020-2021
EFO1V.C
Inhoud
Onderwerp Pagina
Leerdoelen 3
Computer forensics 5
1 Forensic Computing 6
2 Interpretation of Raw Data 9
3 Sources of digital evidence 17
4 File systems 20
Gegevensbeheer 24
5 Database modelling 25
6 ERD 29
7 SQL (data manipulation) 31
8 SQL (data querying) 33
,Computer Forensics en Gegevensbeheer
2019-2020 Forensisch Onderzoek
Leerdoelen
Computer Forensics
1 Forensic Computing
De student kan:
• de processtappen van digitaal forensisch onderzoek beschrijven.
• het werkveld van digitaal forensisch onderzoeker omschrijven.
• verschillende type digitaal forensisch onderzoek onderscheiden
• digitale gegevensdragers identificeren.
• plaats delict en plaats incident onderscheiden.
• digitale gegevensdragers veiligstellen.
• de toepassing van een writeblocker omschrijven.
• de toepassing van een kooi van faraday omschrijven.
• het begrip hash analysis omschrijven.
• van digitale data een cryptografische hash bepalen
2 Interpretation of Raw Data
De student kan:
• digitale data analyseren.
• de begrippen bit, byte, nibble, word en dword herkennen.
• decimaal, binair en hexadecimaal rekenen.
• kan verschillende karaktersets onderscheiden.
• het begrip metadata omschrijven.
• voorbeelden geven van metadata in relatie tot digitale sporen.
• EXIF data uit een digitale afbeelding veredelen.
• het begrip signature analysis beschrijven.
• bestandskenmerken zoals extensie, header en footer duiden
3 Sources of Digital Evidence
De student kan:
• het begrip order of volatility duiden
• begrippen BIOS en CMOS onderscheiden
• Random Access Memory en Read-Only Memory onderscheiden
• in elke memory laag voorbeelden van digitale sporen geven
• de componenten van een harddisk benoemen
• een harddisk en een solid state disk onderscheiden
• de aansluitingen zoals SATA en IDE van een harddisk benoemen
• expertise inschakelen voor harddisk recovery
2
, Computer Forensics en Gegevensbeheer
2019-2020 Forensisch Onderzoek
4 File Systems
De student kan:
• de begrippen bestandssysteem en besturingssysteem onderscheiden
• kan verschillende besturingssystemen benoemen
• kan verschillende bestandssystemen benoemen
• op generiek niveau de werking van een bestandssysteem omschrijven
• de begrippen sector en cluster omschrijven
• de begrippen File Slack, RAM slack en Residual Data duiden
Databases
Alle slides en links onder het kopje ‘Voorbereiden’ op BlackBoard moet je kennen. Voor SQL hoeft de
exacte grammatica niet uit het hoofd geleerd te worden. Wel moet je zonder grammatica bijgeleverd
een SQL query kunnen begrijpen.
1 Forensic Computing
Software
Verschillende software wordt gebruikt bij forensic computing. Denk aan FTK of X-Ways. Soms is
traditionele software niet genoeg, dan moet er gebruik worden gemaakt van open source tools als
WinHex of Autopsy.
Proces
Het proces gaat met de volgende stappen: identificatie (verzamelen), veiligstellen (acquisitie),
analyse (herstellen) en rapporteren (presenteren). Het is een iteratief proces, dit houdt in dat het
zich kan herhalen.
Identificatie
Identificatie heeft te maken met de hardware, dit is een fysiek onderdeel of apparaat, ook wel een
‘gegevensdrager’. Hierop staat vluchtig geheugen (RAM) en niet-vluchtig geheugen (HDD). Van
hardware zijn er verschillende formaten, fysiek, maar ook op gebied van capaciteit (bijvoorbeeld 1
Gigabyte = 20.000 A4 pagina’s
Voorbeeld:
• Identificatie:
o “Je ziet op PD naast de notebook een SD geheugenkaart liggen”
• Analyse:
o “Je ziet bij het analyseren van de data van een notebook dat er wordt verwezen naar
data op een USB-Stick”
Law & procedures
Guidelines
De ACPO (Association of Police Chief Officers) heeft de forensische markt geprivatiseerd. De Good
Practice Guide for Digital Evidence bevat richtlijnen voor het omgaan met digitale sporen.
Er zijn vier basisregels:
3
