Stand van Zaken Computer Forensics Johan ten Houten, Senior Manager Deloitte Risk Services IB Opleidingsmarkt 2015, Fontys Hogeschool Eindhoven 2015 Deloitte The Netherlands 1
Introductie Johan ten Houten Johan ten Houten, MSc-EE 53 jaar oud, getrouwd, 3 kinderen, een hond. Vrije tijd: gezin, skiën, hardlopen, wijn, koken Elektrotechnisch Ingenieur Crypsys Data Security Gerechtelijk Lab (NFI) CMG Laatste 10 jaar Deloitte Forensics, E- Discovery & Financial Crime Analytics
Het was het jaar 1986 2015 Deloitte The Netherlands 3
2015 Deloitte The Netherlands 4
Virussen onderzoek nu 2015: miljoenen bekende virussen Cases: Ransomware Botnets Trojans Goals: Industrial Espionage Financial Crime Hacktivism 2015 Deloitte The Netherlands Tools: memory analysis, reverse engineering, computer forensics (imaging) technieken, data analytics, patroon herkenning ENCASE is een goed begin maar niet de ultieme tool In depth begrip van IT architectuur, operating systemen, programmeertalen en digitale technieken zijn essentieel. 5
2014 Deloitte The Netherlands 6
Cyber Forensics technieken van nu Gemiddelde laptop met 80GB aan diskruimte, gemiddelde telefoon met 16GB aan opslag. Zoeken naar sporen (of gebrek daaraan) (tijd, plaats persoon, inhoud) Heel veel bestanden (content) Tijdslijnen, cookies, dat files, Logbestanden Malware, code Geheugen (swap space) Netwerk verkeer (inhoud) / Actieve verbindingen 2014 Deloitte The Netherlands 7
2014 Deloitte The Netherlands 8
2014 Deloitte The Netherlands 9
Digitale bronnen en onderzoekslijnen Aanpak Activiteit Output Verwachte doorlooptijd Werkzaamheden Fase 1: Initiatie Fase 2: Collectie Fase 3: Analyse Regelmatige sturing, overleg en stellen prioriteiten Fase 4: scenarioonderzoek 3: scenario- Fase (Metadata Fase onderzoek gegevens) 3: scenarioonderzoek 3: scenario- Fase onderzoek Fase 4: scenario- Onderzoek (handelingen Fase 3: scenario- personen) Fase onderzoek 3: scenarioonderzoek Fase 5: rapportage Analyse en reconstructie aan de hand van beschikbare metadata gegevens Nader onderzoek in metadata gegevens Nader (persoonsgericht) onderzoek Ontsluiten digitale gegevens door middel van specialistische software Interviews met betrokkenen Opstellen detailrapportage en samenvatting met bevindingen Afstemmen van rapportage en verkrijgen van reacties 10
Forensisch onderzoek Een document wordt onder de copier gevonden dat de verkoop van in huis ontwikkeld softwarepakket bespreekt. Reden voor klant om onderzoek te laten doen, zeker omdat er volgens de brief 6 miljoen voor het pakket betaald zal worden. Initieel onderzoek aan PC toont aan dat Veel correspondentie via de e-mail Vel brieven over software Aanvragen verhogen creditcard Veel Fanmail van Kirsten met foto Nobelprijs voor de Economie 2014 Deloitte The Netherlands 11
2014 Deloitte The Netherlands 12
SAP onderzoek 450 k wordt overgemaakt naar ING account. Interne controle faalde (werd niet gezien). Onderzoek toont aan werkplek, computer, account en tijd van overmaken. Onderzoek aan PC bevestigt dat. Betrokkene ontkent. Analyse van activiteiten op de pc (tijdslijn) Analyse van activiteiten betrokkene bleek in kantine te zijn obv betaling pasje), Collega had geld overgemaakt.
Forensics = leren kijken
Wat is een HF 2417 HT-D?
Samenvatting Forensisch onderzoek is verder kijken Forensisch onderzoek staat vaak onder tijd en of geld druk Forensisch onderzoek is scenario gericht onderzoeken Forensisch onderzoek heeft special tools en procedures nodig Forensisch onderzoek is specialisten én team werk.
De witte zebra
Vragen jtenhouten@deloitte.nl
Deloitte refers to one or more of Deloitte Touche Tohmatsu Limited, a UK private company limited by guarantee, and its network of member firms, each of which is a legally separate and independent entity. Please see www.deloitte.nl/about for a detailed description of the legal structure of Deloitte Touche Tohmatsu Limited and its member firms. Deloitte provides audit, tax, consulting, and financial advisory services to public and private clients spanning multiple industries. With a globally connected network of member firms in more than 150 countries, Deloitte brings world-class capabilities and high-quality service to clients, delivering the insights they need to address their most complex business challenges. Deloitte has in the region of 200,000 professionals, all committed to becoming the standard of excellence. This communication contains general information only, and none of Deloitte Touche Tohmatsu Limited, its member firms, or their related entities (collectively, the Deloitte Network ) is, by means of this publication, rendering professional advice or services. Before making any decision or taking any action that may affect your finances or your business, you should consult a qualified professional adviser. No entity in the Deloitte Network shall be responsible for any loss whatsoever sustained by any person who relies on this communication.