IT-forensisch onderzoek · Opsporingsinstanties

Hoe worden VDI-omgevingen forensisch onderzocht?

Virtuele desktopinfrastructuren kunnen dynamische of niet-permanente gebruikersomgevingen aanbieden.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor opsporingsinstanties

In complexe onderzoeken is één enkele technische match zelden voldoende. Het is van cruciaal belang dat verwijzingen naar apparaten, accounts, gebruikers, Server en de cloud vakkundig van elkaar worden gescheiden en vervolgens alleen met elkaar worden gekoppeld op de plaatsen waar de gegevens dit daadwerkelijk rechtvaardigen.

Technische onderzoeksaanpak

We maken onderscheid tussen sporen van brokers, hypervisors, profielen, sessies en eindapparaten en gaan na welke gegevens permanent bewaard blijven.

Waar de grens van de uitspraak ligt

Bij niet-permanente desktops kan het ontbreken van lokale sporen technisch gezien te verwachten zijn en mag dit niet overhaast als negatief bewijs worden beschouwd.

Waarom LanCologne?

LanCologne vult de interne capaciteiten van een onderzoeksinstantie aan wanneer er behoefte is aan een complex technisch advies, een onafhankelijke validatie of een aanvullende diepgaande analyse. Het uitgangspunt blijft altijd de concrete onderzoeksvraag.

We werken niet met als doel een reeds bestaande vermoedenshypothese te bevestigen. Zowel belastende als ontlastende technische bevindingen worden volgens dezelfde maatstaf beoordeeld. Dit is met name belangrijk in complexe bedrijfs-, cloud- en omgevingen met meerdere apparaten, omdat identieke inhoud, accounts of netwerksporen vaak meerdere technisch plausibele oorzaken kunnen hebben.

De uitgangsgegevens worden eenduidig gedocumenteerd. Voor zover technisch mogelijk vindt het onderzoek plaats op geverifieerde back-ups of geschikte werkkopieën. Kritische resultaten worden niet louter uit een geautomatiseerd rapport overgenomen. De herkomst, de logica achter de totstandkoming en de systeemcontext worden gecontroleerd; indien nodig wordt een centrale bevinding gevalideerd aan de hand van de primaire gegevens of een onafhankelijke tweede methode.

Het resultaat wordt zo geformuleerd dat rechercheurs en openbare aanklagers kunnen zien wat technisch is bewezen, wat slechts wordt ondersteund, welke tegenstrijdige bevindingen er zijn en welke punten nog openstaan. Voor een latere rechterlijke toetsing blijven de essentiële technische grondslagen op een inzichtelijke manier gedocumenteerd.

Van onderzoeksopdracht tot betrouwbare verklaring

Nadelijke en gunstige bevindingen

Het onderzoek blijft open voor alle mogelijkheden. Als meerdere betrouwbare bronnen een hypothese uit het onderzoek bevestigen, wordt het technische verband daar tussen op een begrijpelijke manier weergegeven. Als andere bronnen dit tegenspreken of als er een alternatieve technische verklaring mogelijk blijft, wordt dit eveneens gedocumenteerd. Het is niet de taak van de deskundige om tegenstrijdigheden op te lossen ten gunste van een gewenst verhaal.

Begrijpelijk voor de opsporingsinstantie, de verdediging en de rechtbank

De belangrijkste bevinding wordt in heldere taal geformuleerd. In het technische gedeelte worden de bronnen, tijdsverwijzingen, identiteiten, integriteitsinformatie en correlaties gedocumenteerd die essentieel zijn voor de hercontrole. Zo kan een andere gekwalificeerde IT-forensisch expert de cruciale bevindingen later aan de hand van dezelfde gegevensbasis controleren.

LanCologne als onafhankelijk extern IT-forensisch deskundige

Wanneer een strafrechtelijke onderzoeksinstantie een complexe digitale zaak grondig of onafhankelijk moet laten onderzoeken, biedt LanCologne ondersteuning met een transparant onderzoek waarbij de uitkomst openstaat. De nadruk ligt niet op het aantal technische treffers, maar op het geven van een betrouwbaar antwoord op de concrete onderzoeksvraag.

De leiding van het onderzoek en de juridische beoordeling blijven bij de bevoegde strafrechtelijke instanties. Artikel 160 van het Wetboek van Strafvordering verplicht het Openbaar Ministerie tot het vaststellen van de feiten en drukt uit dat zowel belastende als ontlastende omstandigheden moeten worden onderzocht. Volgens § 161 StPO kan het Openbaar Ministerie zelf onderzoek verrichten of dit laten uitvoeren door autoriteiten en ambtenaren van de politie; § 163 StPO regelt de taken van de politie in het vooronderzoek.

Voor deskundigen gelden in principe de artikelen 72 e.v. van het Wetboek van Strafvordering. Artikel 161a, lid 1, van het Wetboek van Strafvordering verplicht deskundigen om, wanneer zij daartoe worden opgeroepen, voor het Openbaar Ministerie te verschijnen en hun deskundigenrapport af te leggen; tenzij anders bepaald, zijn de bepalingen van het zevende hoofdstuk van het eerste boek van overeenkomstige toepassing. § 82 van het Wetboek van Strafvordering (StPO) heeft betrekking op de wijze waarop het deskundigenrapport in de vooronderzoekfase wordt opgesteld.

Inbeslagneming en beslaglegging vinden met name plaats op grond van de artikelen 94 en 98 van het Wetboek van Strafvordering (StPO). Artikel 110, lid 3, van het Wetboek van Strafvordering (StPO) regelt het doorzoeken van elektronische opslagmedia en staat onder de daar genoemde voorwaarden ook het veiligstellen van voor het onderzoek relevante gegevens toe. Over de rechtmatigheid, de reikwijdte en het bevel tot het nemen van dergelijke maatregelen beslissen de bevoegde overheidsinstanties, niet LanCologne.

Volgens § 1, lid 3, van de JVEG staat een inschakeling door de politie of een andere wetshandhavingsinstantie in opdracht van of met voorafgaande goedkeuring van het Openbaar Ministerie, wat betreft de vergoedingsregeling gelijk aan een inschakeling door het Openbaar Ministerie.

Veelgestelde vragen

LanCologne – IT-forensisch onderzoek voor strafrechtelijke opsporingsinstanties

Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.

Nu contact opnemen