Forensics

Wat is Forensics?

Forensics (digitale forensische analyse) is het verzamelen, veiligstellen, onderzoeken en rapporteren van digitale gegevens uit systemen en netwerken, op een manier die de integriteit van het bewijs bewaart, om de oorzaak, omvang en impact van een cyberincident vast te stellen. In OT-omgevingen gaat het niet alleen om computers en logbestanden, maar ook om PLC’s, HMI’s, projectbestanden en industrieel netwerkverkeer. Forensics helpt daar bij het reconstrueren van aanvallen, het onderscheiden van storing en sabotage en het vinden van de grondoorzaak, terwijl de installatie vaak gewoon moet blijven draaien.

🧠 Hoe werkt het forensische proces?

De Amerikaanse richtlijn NIST SP 800-86 (Guide to Integrating Forensic Techniques into Incident Response, augustus 2006) verdeelt digitaal forensisch onderzoek in vier fasen. Die indeling wordt nog steeds breed gebruikt:

1. Verzamelen (collection) - bronnen identificeren, labelen en de gegevens veilig kopiëren zonder het origineel te wijzigen: schijfimages, geheugendumps, netwerkopnames en logbestanden.
2. Onderzoeken (examination) - de verzamelde data met geautomatiseerde en handmatige methoden doorzoeken en het relevante deel eruit lichten, zoals verdachte processen of sporen van malware.
3. Analyseren (analysis) - gebeurtenissen in een tijdlijn zetten en verbanden leggen tussen systemen en lagen (IT ↔ OT), bijvoorbeeld verdachte netwerkactiviteit zoals ARP-poisoning of command-and-control, logins buiten werktijden, configuratiewijzigingen en code-downloads.
4. Rapporteren (reporting) - vastleggen wie, wat, waar, wanneer en hoe, welke methoden en tools zijn gebruikt, en welke herstel- en verbetermaatregelen nodig zijn.

Een kernprincipe is de orde van vluchtigheid uit RFC 3227 (februari 2002): verzamel eerst wat het snelst verdwijnt. Werkgeheugen, de ARP-cache en lopende processen gaan bij een herstart verloren; een harde schijf of een gearchiveerde back-up niet.

🔄 Wat is het verschil tussen forensics en incident response?

Forensics en incident response worden vaak samen genoemd als DFIR (Digital Forensics and Incident Response), maar ze hebben een ander doel en een ander tempo.

In de praktijk botsen die twee: de operatie wil een installatie zo snel mogelijk terug in bedrijf, de onderzoeker wil het systeem bewaren zoals het is. Een goed incidentresponsplan legt vooraf vast wie die afweging maakt en welk bewijs minimaal wordt veiliggesteld vóór herstel.

🏭 Waarom is forensics in OT lastiger dan in IT?

NIST publiceerde in juni 2022 NIST IR 8428, een DFIR-raamwerk specifiek voor operationele technologie. Het rapport noemt een aantal eigenschappen die OT-forensics onderscheiden:

• Storing of aanval? - technische storingen komen veel vaker voor dan cyberaanvallen en beginnen met dezelfde symptomen. Bij TRITON (2017) werd de eerste onverwachte veiligheidsuitschakeling aanvankelijk als storing gezien.
• Legacy en eigen protocollen - veel controllers hebben weinig of geen logging en draaien op ongedocumenteerde, propriëtaire firmware en protocollen.
• Beschikbaarheid boven alles - een systeem uitzetten om een schijfimage te maken is vaak geen optie.
• Online versus offline onderzoek - het gedrag van PLC-logica en I/O-signalen is offline lastig te begrijpen; soms is onderzoek aan het draaiende systeem nodig, onder toezicht van procesveiligheid.
• Geheugen-only malware - OT-systemen worden zelden herstart, waardoor malware die alleen in het werkgeheugen leeft daar langer overleeft.
• Twee vakgebieden - het onderzoek vraagt IT-forensische vaardigheden én kennis van het proces en de besturing. Omdat echte OT-incidenten zeldzaam zijn, bouwt u die samenwerking op met simulaties en tabletop-oefeningen.

Stuxnet liet zien waarom een onderzoeker de eigen tooling niet blind mag vertrouwen: de malware verving op het engineeringstation een communicatiebibliotheek van Step 7 en verborg zo zijn eigen codeblokken in de PLC voor de engineer.

🔧 Welke bronnen onderzoekt een OT-forensicus?

Voor het netwerkdeel is Wireshark het standaardgereedschap; voor geheugenanalyse wordt vaak het open-sourceframework Volatility gebruikt en voor schijfonderzoek pakketten als FTK en EnCase. Voor PLC’s bestaat geen universeel forensisch hulpmiddel: hardware en firmware verschillen per fabrikant, dus de vergelijkingsfunctie van de engineeringsoftware van de leverancier is vaak het belangrijkste instrument.

🛠️ Hoe pakt u OT-forensics stap voor stap aan?

NIST IR 8428 deelt het proces in zes fasen: routine, eerste identificatie en melding, afhandeling als technische gebeurtenis, analyse en respons op een cyberincident, einde van het incident en de fase daarna. Vertaald naar de praktijk:

1. Leg in de routine een baseline vast - bewaar periodiek gehashte kopieën van PLC-programma’s, firmwareversies, configuraties en een normaalbeeld van het netwerkverkeer. Wat u vóór het incident niet verzamelt, heeft u erna niet.
2. Synchroniseer de tijd - zonder NTP of PTP lopen klokken van PLC’s, HMI’s en servers uiteen en is een tijdlijn bijna niet te maken.
3. Bepaal of het een storing of een aanval is - laat onderhoud en OT-engineers de technische oorzaak onderzoeken en schaal op naar het incidentteam bij afwijkingen die niet te verklaren zijn.
4. Stel bewijs veilig in volgorde van vluchtigheid - eerst geheugen, netwerkverkeer en VPN-logs, daarna schijven en archieven. Werk lokaal, documenteer elke handeling en bereken een hash (bijvoorbeeld SHA-256) van elk bestand.
5. Valideer de projectbestanden - haal logica en firmware uit de controllers en vergelijk die met de gevalideerde kopie. Een verschil is een sterk spoor, zeker als het niet terug te voeren is op change management.
6. Analyseer in een apart lab - onderzoek kopieën offline, zodat tijdsdruk en veiligheidsrisico’s voor de installatie wegvallen.
7. Rapporteer en verbeter - voer een grondoorzaakanalyse uit, koppel de bevindingen aan MITRE ATT&CK for ICS en TTP’s en neem de lessen mee in threat intelligence en threat hunting.

🔐 Welke eisen gelden voor forensisch bewijs?

• Integriteit - het origineel blijft onaangeroerd; onderzoek gebeurt op kopieën waarvan de hash overeenkomt met de bron.
• Chain of custody - elke overdracht van bewijs wordt vastgelegd: wie, wanneer, waarom. Zonder die keten is bewijs voor een rechter of verzekeraar weinig waard.
• Normen - ISO/IEC 27037:2012 geeft richtlijnen voor het identificeren, verzamelen, verwerven en bewaren van digitaal bewijs; ISO/IEC 27043:2015 beschrijft het bredere onderzoeksproces.
• Passief waar het kan - gebruik in een productieomgeving bij voorkeur passieve methoden zoals netwerkopnames via een TAP. Actief uitlezen van controllers gebeurt alleen in overleg met de procesverantwoordelijke.
• Wettelijke context - sinds 15 augustus 2026 verplicht de meldplicht van de Cyberbeveiligingswet essentiële en belangrijke entiteiten om significante incidenten te melden, met een eindrapport binnen een maand waarin onder meer de soort dreiging of grondoorzaak staat. Zonder forensisch onderzoek is dat rapport moeilijk te onderbouwen.

Forensisch onderzoek koppelt u in de praktijk aan SIEM, SOAR en het CSIRT van uw sector, en het vraagt nauwe samenwerking tussen IT, OT en beveiligingsteams.

❓ Veelgestelde vragen

Wat betekent DFIR?

DFIR staat voor Digital Forensics and Incident Response: de combinatie van digitaal forensisch onderzoek en incidentafhandeling. Incident response stopt de aanval en herstelt de dienstverlening, forensics reconstrueert wat er is gebeurd en stelt bewijs veilig. In OT-omgevingen beschrijft NIST IR 8428 uit 2022 een DFIR-raamwerk dat beide samenbrengt.

Kan ik een PLC forensisch onderzoeken?

Een PLC is forensisch te onderzoeken, maar niet met standaard IT-tooling. Gangbaar is de logica en firmware uitlezen met de engineeringsoftware van de leverancier, er een hash van maken en die vergelijken met een gevalideerde kopie. Geheugenanalyse van PLC’s is mogelijk maar per fabrikant anders, omdat hardware en firmware propriëtair zijn.

Moet ik een geïnfecteerd OT-systeem meteen uitzetten?

Een geïnfecteerd OT-systeem meteen uitzetten wist het werkgeheugen en daarmee vaak het beste forensische bewijs. Isoleer het systeem bij voorkeur eerst van het netwerk en maak een geheugendump, tenzij de procesveiligheid direct ingrijpen vereist. Veiligheid van mens en installatie gaat altijd voor bewijsvergaring.

Welke tools gebruik je voor forensics in OT?

Voor forensics in OT gebruikt u Wireshark voor netwerkverkeer en industriële protocollen, Volatility voor geheugenanalyse en FTK of EnCase voor schijfonderzoek. Daarnaast is de engineeringsoftware van de PLC-leverancier onmisbaar om logica te vergelijken. Logs uit SIEM, historian en VPN-gateways vullen het beeld aan.

Waarom is tijdsynchronisatie belangrijk voor forensics?

Tijdsynchronisatie is belangrijk voor forensics omdat een onderzoeker gebeurtenissen van PLC’s, HMI’s, firewalls en servers op één tijdlijn moet zetten. Als klokken minuten uiteenlopen, is niet meer vast te stellen welke actie de oorzaak was en welke het gevolg. Synchroniseer daarom alle OT-componenten met NTP of PTP.

Wanneer schakel ik een extern forensisch team in?

Een extern forensisch team schakelt u in wanneer uw eigen team de kennis of capaciteit mist, wanneer bewijs juridisch moet standhouden of wanneer een verzekeraar daarom vraagt. Leg zo’n team bij voorkeur vooraf contractueel vast, zodat het binnen uren kan starten. Kies een partij met aantoonbare OT-ervaring, want IT-forensici kennen industriële protocollen en controllers niet altijd.

📌 Samengevat

Forensics is het zorgvuldig verzamelen, veiligstellen en analyseren van digitaal bewijs om te reconstrueren wat er tijdens een cyberincident is gebeurd. In OT vraagt dat om een baseline vooraf, tijdsynchronisatie, passieve methoden en kennis van PLC’s en industriële protocollen.

Forensisch onderzoek is de basis voor het begrijpen van cyberincidenten in OT-omgevingen, zoals een foutieve of kwaadwillige download naar een PLC, een achterdeur (backdoor) waarmee een aanvaller zich in een SCADA-systeem nestelt of ransomware in de OT-zone. Door bewijs goed te bewaren en de grondoorzaak te vinden, voorkomt u herhaling en onderbouwt u uw meldingen aan toezichthouder en CSIRT.