Internationale kennisbank over digitaal forensisch onderzoek

Het Nederlands Forensisch Instituut (NFI) heeft samen met de universiteiten van Oxford en Lausanne een raamwerk ontwikkeld voor een internationale kennisbank voor digitaal forensisch onderzoek. Harm van Beek van het NFI droeg bij aan het ontwerp van de kennisbank: “In de kennisbank worden de verschillende stappen in het forensische digitale proces op een eenduidige en gestructureerde manier vastgelegd. De kennisbank geeft digitaal forensisch onderzoekers straks meer grip op kennis en ontwikkelingen in de zich constant vernieuwende wereld van digitale forensische technieken.”

De kennisbank heet SOLVE-IT, wat staat voor Systematic Objective-based Listing of Various Established (Digital) Investigation Techniques. Behalve de stappen in het proces, wordt ook vastgelegd welke technieken je kunt gebruiken, wat de kwetsbaarheden zijn, wat je kunt doen om deze te beperken en wordt er verwezen naar bronnen die meer informatie bieden. De kennisbank is deze maand gepresenteerd op the Digital Forensics Research Conference Europe (DFRWS EU 2025) in Tsjechië en gepubliceerd in het internationale blad ‘Forensic Science International: Digital investigation’. De digitale forensische onderzoekswereld reageerde enthousiast, vertelt Van Beek: “De behoefte aan een centrale plek is groot. De ontwikkeling wordt gesteund door de DFRWS-community. Dat deden ze eerder ook met de universele cybertaal CASE.”

Doelen
SOLVE-IT is geen database met alleen tools, maar beschrijft alle te nemen stappen in het digitale forensische proces. Bovenaan de kennisbank staan de doelen (objectives) die je wilt bereiken. “Voorbeelden van doelen zijn toegang krijgen tot een apparaat, data uit een apparaat halen, e-mails inzichtelijk maken, zorgen dat informatie niet verdwijnt en hulp bij het prioriteren van de te nemen stappen,” legt Van Beek uit. “Zo wordt bijvoorbeeld onder blokje ‘acquire’ beschreven hoe je data uit gegevensdragers zoals een USB-stick kunt halen. Een techniek die je kunt gebruiken, is het maken van een één-op-één-kopie. Een kwetsbaarheid is, dat door de USB-stick aan te sluiten op een computer, de gegevens op de USB-stick worden aangepast, wat je juist niet wilt. Om die kwetsbaarheid te voorkomen kan je een speciaal daarvoor ontwikkeld apparaatje gebruiken, een zogenaamde write-blocker.”

Inspiratiebron
De bedoeling is dat de wereldwijde digitale forensische gemeenschap het framework SOLVE-IT verder aanvult. “Met elkaar kunnen we de ontwikkelingen bijhouden”, aldus Van Beek. De onderzoekers haalden de inspiratie voor het raamwerk uit het cybersecurity domein. Daar is een kennisdatabank ontwikkeld met de naam MITRE ATT&CK. Dat vakgebied richt zich op het veilig houden van systemen van organisaties. MITRE ATT&CK beschrijft welke aanvallen mogelijk zijn, bijvoorbeeld een DDoS-aanval, phishing of het plaatsen van malware. Het beschrijft ook wat je kunt doen om aanvallen te voorkomen en hoe je ze kunt herkennen, wat de gevolgen zijn, welke maatregelen je kunt nemen als je aanval constateert en hoe je bewijs tegen eventuele daders kunt verzamelen. Net als MITRE ATT&CK is SOLVE-IT een internationale open source kennisbank en het is de bedoeling dat de internationale gemeenschap het gebruikt en bijhoudt. Van Beek: “We hebben een begin gemaakt met het vullen van de kennisbank. We hebben de verzamelingen die al door anderen zijn gemaakt bijeengebracht. Maar het moet echt nog verder groeien. De DFRWS-community steunt dit project. We gaan met nog meer partijen in overleg, want financiering is nodig om de kennisbank beter beschikbaar te maken en verder te vullen.”

Centrale kennisdeling noodzakelijk
Van Beek vond het hoog tijd voor een kennisdatabank voor digitaal forensisch onderzoek zoals MITRE ATT&CK is voor het cybersecuritydomein. “Je kent als digitaal expert nooit alle mogelijkheden, werkwijzen en risico’s. Nu was er niets wat je kon raadplegen, maar straks heb je dan SOLVE-IT, een kennisbank waarin kennis centraal wordt verzameld en bijgehouden.” Daarnaast krijgen digitaal forensisch onderzoekers steeds vaker de vraag om uit te leggen wat ze hebben gedaan en hoe. “We moeten helder uitleggen wat we doen, waarom we het doen en welke stappen we nemen. Zeggen dat je de resultaten hebt verkregen met tool X is vaak niet voldoende. Want hoe heb je die tool gebruikt en hoe betrouwbaar zijn de resultaten van je onderzoek? Dat moet je wel weten, want de gevolgen kunnen groot zijn voor betrokkenen in een strafzaak.”

Verbeteren kwaliteit digitaal forensisch onderzoek
Behalve dat de kennisbank digitaal forensisch onderzoekers op weg kan helpen en bewust kan maken van mogelijke risico’s, kan het ook organisaties helpen om de digitaal forensische processen op een goede manier in te richten. “Bij fysieke forensische processen zoals een forensische sectie of bij DNA-onderzoek is iedereen alert op mogelijke kwetsbaarheden. Kwaliteit is een belangrijk onderdeel van het werk. In het digitale vakgebied weet iedereen dat ook, maar het grote verschil is dat de dingen die we onderzoeken continu veranderen. Deze kennisbank helpt ons om grip te krijgen op alle ontwikkelingen en kennis die er is over digitaal forensisch onderzoek”, zegt Van Beek: “In de kennisbank worden alle stappen in het forensische digitale proces beschreven, evenals de risico’s waar het fout kan gaan. Je kunt de kennisbank gebruiken voor het verbeteren van de kwaliteit van de digitaal forensische processen in alle labs wereldwijd.” Dat advocaten het raamwerk straks kunnen gebruiken, is volgens Van Beek prima: “Ook als we de kwetsbaarheden niet opschrijven, dan zitten ze in een proces. Het is belangrijk om transparant te zijn over wat we doen, waarom we het doen en wat we doen om eventuele kwetsbaarheden te minimaliseren of de risico’s bewust te accepteren. Het maakt onderzoekers alert en voorkomt juist fouten.”

Tool voor AI
Tot slot kan de kennisbank ook zichtbaar maken waar nog kennis ontbreekt en waar nog aanvullend onderzoek nodig is. “Dit is handig voor wetenschappelijk onderzoekers bij forensische instituten, op universiteiten en in het bedrijfsleven.” Naast de kennisbank is er bijvoorbeeld al een tool die toont of AI in een proces gebruikt wordt of juist niet. “Het laat bijvoorbeeld zien waar AI mogelijk in de toekomst kan helpen, maar waar nog weinig kennis over is. Deze tool helpt dus ook met het inzichtelijk maken waar aanvullend onderzoek nodig kan zijn.”

Het bericht Internationale kennisbank over digitaal forensisch onderzoek verscheen eerst op BeveiligingNieuws.