Wat is een forensische image, en wanneer hebben we er een nodig?
Een forensische image is een exacte, geverifieerde kopie van een schijf of van het geheugen van een computer, gemaakt zodat onderzoekers haar kunnen bekijken zonder het origineel te veranderen. Ze wordt gemaakt met speciale tools, voorzien van een hash zoals SHA-256 zodat elke latere wijziging opvalt, en bewaard met een overzicht van wie haar in handen had. U hebt er een nodig als het incident kan uitmonden in een juridisch geschil, een verzekeringsclaim, een politiezaak of vragen van een toezichthouder, en als u wilt weten hoe de aanvaller binnenkwam voordat u de machine herbouwt. Gewone back-ups zijn geen vervanging, want ze laten gewiste bestanden, geheugen en systeemgebieden weg. Laat een specialist haar maken als dat kan. Netwerkbewijs vult haar aan: NetSenX legt vast wat over het netwerk ging, wat de schijfimage van één machine niet kan laten zien.
Dit antwoord staat, met meer context, ook hier: Incidentrespons