För mig blir Diskforensik värdefullt först när resultatet går att testa med både positiva och negativa kontrollfall. Diskforensik bygger på att bevara originaldata, arbeta på verifierade kopior och sätta filsystemartefakter i en tidslinje i stället för att läsa enstaka filer isolerat.
Diskforensik i praktiken
Första byggstenen: Write blocking eller read-only acquisition minskar risken att originalet förändras. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
En annan viktig del: Filesystem metadata kan visa creation, modification och andra tidsfält. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det tekniska ankaret: Deleted files kan ibland återfinnas beroende på filsystem och återanvändning. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det som ofta avgör kvaliteten: Browser, registry, shell history och applikationsdata kan komplettera varandra. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Arbetsgång utan genvägar
- Dokumentera enhet och acquisitionmetod.
- Skapa image och kryptografisk hash.
- Montera eller analysera kopian read-only.
- Bygg tidslinje kring incidentfönstret.
- Verifiera intressanta artefakter mot loggar eller minne.
För Diskforensik håller jag därför införandet i små steg. Då går det att skilja ett säkerhetsproblem från ett rent driftfel och att rulla tillbaka just den ändring som gav ett oväntat resultat.
Ett testbart exempel
En nedladdad fil kan kopplas till browserhistorik, Zone.Identifier, skapandetid och senare processkörning. Flera artefakter tillsammans ger en mycket starkare tidslinje än filen ensam.
När en bra idé blir fel i drift
- Att analysera live-disken som om den vore oföränderlig.
- Att blanda tidsstämplar från olika timezone utan normalisering.
- Att anta att filens namn ensam visar dess ursprung.
Efterkontroll
För Diskforensik vill jag avsluta med mätbara efterkontroller i stället för att nöja mig med att en statusruta visar ”enabled”. De viktigaste kontrollerna här är:
- Original och image har dokumenterade hashvärden.
- Analysen kan upprepas på en ny kopia.
- Tidslinjen innehåller källreferens för varje viktigt fynd.
Ett negativt test hör också till Diskforensik: den väg, identitet eller operation som inte ska vara tillåten ska misslyckas på ett förutsägbart sätt. Då kan nästa tekniker upprepa kontrollen och förstå både avsikten och gränsen.
Slutsats
Diskforensik – tidsstämplar, artefakter och säkra arbetskopior handlar därför inte om att samla fler säkerhetsinställningar. Det handlar om att minska en konkret risk med en kontroll som har tydligt scope, tydlig ägare och ett verifierbart resultat. När före-läge, förändring och eftertest dokumenteras blir säkerhetsarbetet både säkrare och lättare att förvalta.