Forensik sistem: panduan lengkap dan praktikal

Informatec Digital » Sumber » Forensik sistem: panduan lengkap dan praktikal

Forensik komputer dan keselamatan siber telah menjadi alat utama untuk perniagaan, agensi penguatkuasaan undang-undang dan pakar forensik. Kita hidup terpaku pada telefon, komputer dan semua jenis peranti yang disambungkan, jadi sebarang kejadian meninggalkan kesan digital yang, jika dianalisis dengan betul, boleh menjadi penting dalam siasatan teknikal atau undang-undang.

Walaupun ia mungkin kedengaran seperti disiplin yang sangat maju hari ini, forensik digital mula terbentuk pada tahun 1980-an dengan pempopularan komputer peribadi, menjadi profesional pada tahun 1990-an, dan hanya pada awal abad ke-21 negara-negara seperti Amerika Syarikat mula menyeragamkan prosedur, terutamanya dalam menghadapi peningkatan jenayah siber yang kejam dan desentralisasi penguatkuasaan undang-undang.

Apakah forensik sistem dan mengapa ia begitu penting?

Apabila kita bercakap tentang forensik sistem, kita merujuk kepada disiplin teknikal-saintifik yang mencari, memelihara, mengekstrak dan menganalisis bukti digital daripada mana-mana peranti yang mampu menyimpan atau memproses data: komputer, telefon bimbit, tablet, cakera keras luaran, sistem IoT, dron, kenderaan yang disambungkan, pelayan awan, rangkaian, dan sebagainya.

Matlamatnya bukan sekadar untuk memulihkan fail atau melihat "apa yang berlaku," tetapi untuk membina semula fakta yang berkaitan dengan insiden dengan andal : sistem mana yang telah dikompromi, teknik apa yang digunakan, maklumat apa yang telah diekstrak, siapa yang mempunyai akses dan pada masa apa, dan semua ini dengan cara yang boleh dipertahankan di mahkamah jika perlu.

Analisis jenis ini bergantung pada kaedah yang teliti untuk memperoleh dan memproses bukti elektronik bagi mengelakkan perubahan keadaan asalnya. Oleh itu, penekanan diberikan kepada integriti, rantaian jagaan dan kebolehterimaan: jika bukti disalahgunakan, tercemar atau tidak didokumenkan dengan betul, ia boleh ditolak oleh hakim dan membatalkan semua kerja sebelumnya.

Ketika masyarakat telah beralih ke dalam talian, dengan peningkatan pengkomputeran awan, kerja jarak jauh dan peranti yang terhubung , jumlah data yang dijana setiap orang telah melonjak naik. Ini memberikan cabaran besar bagi penganalisis, tetapi juga peluang: semakin besar jejak digital, semakin besar peluang untuk membina semula insiden keselamatan siber atau jenayah teknologi dengan tepat.

Inilah sebabnya mengapa forensik digital dianggap sebagai cabang penting dalam kepolisan saintifik dan keselamatan siber moden . Ia menyokong siasatan jenayah dan sivil, membantu menentukan liabiliti dalam kes penipuan teknologi, pertikaian buruh, pelanggaran data dan serangan ransomware , dan juga berfungsi untuk meningkatkan pertahanan dan dasar keselamatan dalaman.

Aplikasi praktikal analisis forensik dalam keselamatan siber

Dalam bidang keselamatan siber, forensik digital digunakan untuk menyiasat insiden seperti pencerobohan, kecurian kelayakan, pengintipan industri, sabotaj atau pelanggaran data . Ideanya ialah, sebaik sahaja insiden dikesan atau disyaki, persekitaran akan terjamin dan proses pengumpulan dan pemeriksaan bukti digital yang terkawal akan dimulakan.

Kerja ini berlaku dalam persekitaran yang terpencil, terkawal dan didokumenkan dengan teliti , menggunakan alat khusus yang membolehkan pemeriksaan cakera, lambakan memori , log sistem, trafik rangkaian dan artifak lain tanpa mengubah suai yang asal. Matlamatnya adalah untuk menjawab soalan utama: bagaimana penyerang mendapat akses, apa sebenarnya yang mereka lakukan, data apa yang mereka akses, berapa lama mereka berada di dalam dan sama ada terdapat pintu belakang yang masih ada.

Selain menjelaskan apa yang berlaku, forensik keselamatan siber adalah penting untuk menentukan atau melaraskan langkah-langkah perlindungan : peraturan tembok api, konfigurasi EDR, segmentasi rangkaian, dasar kata laluan, latihan pengguna, dan sebagainya. Banyak organisasi memanfaatkan dapatan analisis pakar untuk mengemas kini ISMS mereka, menyemak pematuhan peraturan mereka (contohnya, dengan ISO 27001), atau mengukuhkan kawalan kritikal.

Ia juga mempunyai aspek perundangan yang jelas: dapatan boleh dibentangkan dalam laporan komputer forensik yang boleh digunakan sebagai bukti dalam prosiding undang-undang, sama ada jenayah, sivil, buruh atau pentadbiran. Laporan ini biasanya merangkumi metodologi yang digunakan, bukti yang disemak, keputusan yang diperoleh dan kesimpulan teknikal yang dijelaskan dengan cara yang difahami oleh hakim dan peguam.

Tambahan pula, forensik keselamatan siber memberikan manfaat tambahan: ia mendorong amalan penggodaman beretika dan ujian penembusan . Memahami bagaimana penjenayah siber sebenarnya menyerang membolehkan reka bentuk ujian penembusan yang lebih realistik dan sasaran yang lebih baik untuk menambah baik infrastruktur organisasi.

Evolusi dan kebangkitan profesional forensik digital

Pertumbuhan forensik digital bukan sahaja dari segi teknologi, tetapi juga profesional. Semakin banyak syarikat, firma guaman dan badan awam memerlukan perkhidmatan forensik komputer khusus untuk insiden kompleks: penipuan mata wang kripto, kecurian identiti, jenayah kebencian di media sosial, pengintipan dalam kalangan pesaing dan sebagainya.

Organisasi antarabangsa seperti INTERPOL telah membangunkan makmal forensik digital rujukan , garis panduan global untuk menubuhkan makmal kebangsaan dan amalan terbaik untuk mengendalikan bukti elektronik. Mereka juga menggalakkan program latihan, pembinaan kapasiti dan rangkaian pakar yang berkongsi pengetahuan dan kajian kes.

Sementara itu, permintaan untuk profesional yang berkelayakan semakin meningkat. Anggaran seperti yang dianggarkan oleh Biro Statistik Buruh A.S. menunjukkan pertumbuhan dua digit dalam pekerjaan forensik komputer pada tahun-tahun akan datang, dengan profil yang menggabungkan pengetahuan teknikal yang mendalam dan pemahaman tentang kerangka kerja perundangan yang berkenaan.

Bagi memenuhi keperluan ini, program bootcamp dan program penggodaman etika serta keselamatan siber yang intensif telah muncul , berserta pensijilan teknikal (CPHE, CSFPC, CSIO, CSCE, antara lain) dan latihan lanjutan dalam piawaian keselamatan maklumat seperti ISO 27001. Banyak syarikat keselamatan siber mempunyai pasukan pakar yang diiktiraf dan makmal mereka sendiri untuk menganalisis perkakasan, perisian, rangkaian dan aplikasi.

Dalam konteks ini, perkhidmatan yang sangat spesifik juga muncul, seperti perundingan forensik digital berorientasikan perniagaan , di mana insiden tertentu dianalisis (pancingan data, kebocoran data, penipuan dalaman, sabotaj, dll.), data yang dipadam atau rosak dipulihkan, syarikat disokong dalam proses undang-undang dan langkah pembetulan direka bentuk untuk mencegah situasi berulang.

Jenis-jenis analisis forensik dalam bidang teknologi

Dalam payung forensik digital yang luas, beberapa pengkhususan biasanya dibezakan berdasarkan jenis media atau persekitaran yang dianalisis. Setiap satu mempunyai teknik dan alat khususnya yang tersendiri, walaupun semuanya berkongsi falsafah yang sama: untuk memelihara, menganalisis dan mempersembahkan bukti digital dengan andal.

Di satu pihak, terdapat analisis digital tradisional komputer desktop dan komputer riba , yang bertujuan untuk memulihkan fail, mengkaji aktiviti pengguna dan membina semula garis masa peristiwa. Ini melibatkan sistem fail, log sistem pengendalian, aplikasi pejabat, pelayar web dan sebagainya.

Satu lagi cabang penting ialah analisis peranti mudah alih (telefon pintar, tablet, PDA dan peranti yang serupa). Peranti ini menyimpan sejumlah besar data sensitif: pesanan segera, e-mel, geolokasi, gambar, aplikasi perbankan dan banyak lagi. Alat forensik mudah alih membolehkan pengekstrakan dan penyahkodan maklumat walaupun pengguna telah cuba memadam perbualan atau memformat peranti, atau memulihkan fail yang dipadam daripada Android.

Terdapat juga analisis perisian , yang menumpukan pada penyiasatan kod aplikasi untuk menentukan sama ada ia telah dicuri, dimanipulasi atau dikompromi. Ia penting dalam kes harta intelek, analisis perisian hasad atau mengesahkan integriti aplikasi kritikal.

Akhir sekali, analisis memori dan storan menonjol , dengan memberi tumpuan kepada kajian kandungan cakera keras, pemacu USB, SSD dan RAM itu sendiri. Ini termasuk memulihkan data yang dipadam, menganalisis volum yang disulitkan, mengesan sisa-sisa perisian hasad yang masih ada dan mengenal pasti data yang tidak pernah ditulis ke cakera tetapi kekal dalam memori untuk tempoh masa tertentu.

Artifak forensik utama dalam sistem Windows

Secara praktikalnya, kebanyakan insiden korporat menjejaskan persekitaran Windows. Sistem ini menghasilkan sejumlah besar artifak forensik : kesan kecil aktiviti yang, apabila dianalisis dengan betul, membolehkan penyiasat membuat kesimpulan tentang apa yang telah dilakukan oleh pengguna atau penyerang pada komputer tertentu.

Forensik digital dalam Windows memberi tumpuan kepada mengenal pasti, memelihara dan mengkaji artifak ini tanpa menjejaskan integritinya . Walaupun data tersebar di pelbagai bahagian sistem dan ada yang tidak menentu, kebanyakannya boleh dikumpulkan dengan agak mudah dan menawarkan maklumat yang mempunyai nilai bukti yang sangat besar.

Antara yang paling relevan ialah log peristiwa, fail Praambil, pintasan (LNK), Pendaftaran Windows dengan artifak seperti Shimcache, Amcache dan ShellBags, serta maklumat tentang peranti yang disambungkan, program permulaan dan fail yang baru dibuka.

Penganalisis menggabungkan artifak ini dengan data rangkaian, lambakan memori, log aplikasi dan platform SIEM seperti Wazuh untuk membina semula garis masa terperinci , menguji pelaksanaan alat berniat jahat, menunjukkan penggunaan akaun tertentu atau mengesan penyaringan maklumat ke peranti luaran.

Dalam kedua-dua siasatan jenayah dan dalaman, elemen-elemen ini membantu menghubungkan tindakan teknikal dengan orang ramai dan tanggungjawab , sesuatu yang asas apabila melibatkan pemecatan tatatertib, pertikaian kontrak, pelanggaran dasar atau prosedur kehakiman secara umum.

Log Peristiwa dan nilai buktinya

Log peristiwa Windows merupakan salah satu sumber maklumat terkaya. Ia menyimpan sejarah terperinci peristiwa sistem, keselamatan dan aplikasi , yang direkodkan dalam fail dengan sambungan .evtx yang terletak di C:\Windows\System32\winevt\Logs\.

Dari sudut pandangan forensik, log keselamatan amat menarik perhatian , di mana percubaan log masuk yang gagal (peristiwa 4625), log masuk yang berjaya (peristiwa 4624), perubahan kritikal dalam dasar keselamatan (peristiwa 4719) dan banyak tindakan lain yang berkaitan dengan pengesahan dan kawalan akses direkodkan.

Menganalisis peristiwa ini membolehkan anda mengesan percubaan pencerobohan, serangan brute-force, peningkatan keistimewaan atau akses selepas waktu bekerja . Ia juga sangat berguna untuk mengenal pasti akaun mana yang digunakan semasa insiden, alamat IP yang disambungkan atau sama ada parameter audit diubah suai untuk cuba menutup jejaknya.

Log sistem dan aplikasi juga memberikan petunjuk: permulaan semula yang tidak dijangka, ralat perkhidmatan, pemasangan pemacu yang mencurigakan, kegagalan aplikasi keselamatan… Dengan alat seperti Windows Event Viewer (eventvwr.msc), alat Sysinternals atau skrip PowerShell, penganalisis boleh menapis, mengeksport dan menghubungkan sejumlah besar maklumat.

Dalam kebanyakan kes, utiliti atau rangka kerja tertentu seperti Plaso (Log2Timeline) digunakan untuk menukar rekod ini kepada garis masa yang disatukan , yang kemudiannya disemak dengan alatan seperti Timeline Explorer, memudahkan pengenalpastian corak yang mencurigakan dan korelasi dengan artifak lain.

Praambil: jejak program yang dilaksanakan

Mekanisme Prefetch Windows direka bentuk untuk meningkatkan prestasi sistem, tetapi dari perspektif forensik, ia adalah emas tulen. Setiap kali aplikasi dijalankan, Windows boleh mencipta fail Prefetch dengan sambungan .pf dalam folder C:\Windows\Prefetch\.

Fail-fail ini mengandungi data tentang fail boleh laku yang dilancarkan, dari laluan mana, berapa kali dan pada anggaran masa apa . Walaupun program asal telah dipadamkan daripada cakera, jejaknya mungkin masih terdapat dalam Prefetch, membantu membuktikan bahawa ia berjalan pada sistem.

Tingkah laku Prefetch telah berkembang: dalam versi seperti Windows XP hingga Windows 7, ia dihadkan kepada 128 fail; dari Windows 8 dan seterusnya ia digabungkan dengan Superfetch (SysMain) dan saiz maksimum ditingkatkan, membolehkan sejarah aplikasi yang digunakan lebih kaya dan terperinci .

Dalam praktiknya, penganalisis menggunakan alat seperti PECmd atau WinPrefetchView untuk mengekstrak dan menggambarkan maklumat daripada fail-fail ini: nama boleh laku, laluan, cap waktu berkaitan dan fail berkaitan yang dimuatkan semasa pelaksanaan, dan juga utiliti seperti Process Explorer untuk menyiasat proses berkaitan.

Maklumat ini boleh digunakan untuk mengenal pasti pelaksanaan perisian hasad, alat pentadbiran jauh, skrip pergerakan sisi atau utiliti mencurigakan yang digunakan oleh penyerang dalaman. Tambahan pula, ia boleh mengesahkan laporan pengguna tentang aplikasi yang mereka gunakan dan bila, yang sangat berguna dalam siasatan dalaman atau pelanggaran data.

Fail LNK: pintasan yang memberitahu hampir segala-galanya

Fail LNK, yang biasanya dikenali sebagai pintasan Windows, merupakan satu lagi artifak forensik yang sangat menarik. Setiap pintasan menyimpan metadata tentang fail atau folder sasaran : laluan asal, peranti storan, tarikh berkaitan dan sifat lain.

Fail-fail ini dicipta, contohnya, pada desktop pengguna atau dalam folder dokumen terkini (C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Recent\), membolehkan pembinaan semula fail yang baru dibuka dan dari mana.

Dalam persekitaran forensik, fail LNK sangat berguna untuk mengesan penyusupan data ke pemacu luaran , kerana ia boleh menyimpan butiran peranti USB, seperti nombor siri atau huruf pemacu. Walaupun fail sasaran telah dipadam atau pemacu USB tidak lagi disambungkan, pintasan tersebut boleh menyimpan maklumat penting.

Alat seperti LECmd atau ShellBagsExplorer membolehkan anda mengekstrak dan menganalisis data ini secara pukal, membantu mengenal pasti laluan rangkaian yang diakses, nama fail sensitif dan tabiat kerja pengguna. Skrip PowerShell juga boleh digunakan untuk menyenaraikan dan mengisih pintasan mengikut tarikh pengubahsuaian terakhir.

Semua ini membantu membina semula urutan tindakan pengguna sebelum, semasa dan selepas kejadian: dokumen apa yang mereka buka, sama ada mereka menyalinnya ke pemacu USB, sama ada mereka menjalankan program daripada folder yang tidak dikenali, dsb., yang mengukuhkan atau bercanggah dengan versi peristiwa dalam konflik dalaman atau prosiding undang-undang.

Pendaftaran Windows: Konfigurasi, Kegigihan dan Jejak Penggunaan

Pendaftaran Windows ialah pangkalan data hierarki di mana sistem pengendalian dan banyak aplikasi menyimpan tetapan, senarai item terkini dan data tentang peranti . Dari perspektif forensik, ia merupakan lombong emas maklumat untuk memahami bagaimana komputer berfungsi dan apa yang telah berlaku padanya.

Antara lain, Pendaftaran mengandungi program yang bermula secara automatik dengan sistem , sesuai untuk mencari perisian hasad berterusan atau alat pentadbiran jauh yang dimuatkan pada setiap but. Ia juga termasuk kekunci yang mengumpul cap jari peranti USB yang disambungkan, membantu menjejaki pemacu luaran yang digunakan untuk menyalin data.

Satu lagi kumpulan artifak yang berkaitan ialah Shimcache dan Amcache . Yang pertama membolehkan anda mengetahui aplikasi mana yang telah berjalan pada sistem (walaupun tidak selalunya dengan masa yang tepat), manakala yang kedua memberikan butiran yang lebih tepat: nama fail, laluan, hash SHA1 dan pelbagai cap waktu yang berkaitan dengan pelaksanaan.

Tambahan pula, ShellBags yang disimpan di bawah kekunci Pendaftaran tertentu membolehkan anda membina semula folder yang telah dinavigasi pengguna dalam penjelajah fail, walaupun folder tersebut telah dipadam selepas itu. Ini memberikan gambaran yang sangat jelas tentang lokasi yang telah dilawati dan boleh mendedahkan percubaan untuk menyembunyikan atau memanipulasi data.

Untuk menganalisis Registry, alat seperti Registry Explorer, RECmd atau RegRipper digunakan , yang mengautomasikan pengekstrakan bahagian yang berkaitan dan membentangkan maklumat dalam format yang boleh dibaca oleh penganalisis. Sekali lagi, alat ini sering digabungkan dengan sumber lain untuk mengesahkan dapatan dan mengukuhkan kesimpulan.

Fasa-fasa analisis forensik komputer yang dilakukan dengan baik

Selain peralatan dan kelengkapan, apa yang penting adalah mengikuti proses yang teratur dan sistematik . Analisis forensik yang tidak teratur boleh membatalkan bukti, mewujudkan keraguan dalam perbicaraan, atau menyebabkan salah tafsir.

Dalam praktiknya, beberapa peringkat biasanya dibezakan. Pertama, kajian awal tentang arena digital , di mana sistem yang terlibat dikenal pasti, persekitaran dijamin untuk mencegah kerosakan selanjutnya, dan skop analisis diputuskan. Inilah masanya untuk menyekat akses yang tidak perlu, memelihara log, dan bersetuju dengan organisasi tentang cara kerja akan dijalankan.

Seterusnya ialah pengenalpastian dan pengkatalogan bukti : inventori peranti, akaun, perkhidmatan, sandaran dan sebarang item lain yang mungkin mengandungi data yang berkaitan. Di sini, adalah penting untuk menentukan sistem mana yang akan diimejkan secara forensik dan mengutamakannya mengikut kekritikan dan ketidakstabilan maklumat.

Fasa pemerolehan data melibatkan penjanaan salinan forensik bit demi bit cakera, partition, memori atau bekas, biasanya menggunakan penyekat penulisan fizikal untuk mengelakkan perubahan pada fail asal. Ini adalah asas segala-galanya; jika peringkat ini dilakukan dengan salah, kerja selebihnya mungkin tidak boleh diterima.

Sebaik sahaja data dijamin, analisis sebenar bermula : menyemak fail, log, rekod, lambakan memori, artifak Windows dan sebarang sumber lain yang berkaitan. Alatan automatik digabungkan dengan semakan manual, garis masa dibina dan bahagian-bahagian disusun bersama sehingga gambaran yang jelas tentang kejadian muncul.

Langkah terakhir ialah penyediaan laporan pakar , yang memperincikan tindakan yang diambil, metodologi yang digunakan, bukti yang dikaji semula dan kesimpulan teknikal. Ia mesti ditulis dengan tepat, tetapi juga dalam bahasa yang mudah difahami oleh orang bukan teknikal, kerana ia selalunya akan dibentangkan kepada hakim, peguam atau jawatankuasa pemandu.

Amalan terbaik untuk analisis forensik pada sistem Windows

Agar siasatan forensik dalam Windows menjadi kukuh, tidak cukup hanya dengan mengetahui artifaknya; adalah perlu untuk menghormati beberapa amalan baik yang mengurangkan kebarangkalian ralat dan menjamin kekukuhan kesimpulan.

Langkah pertama adalah untuk mendapatkan imej forensik yang tepat, boleh disahkan dan boleh dihasilkan semula bagi sistem yang dianalisis dengan mengira dan mendokumentasikan hash sebelum dan selepas salinan. Ini membolehkan kerja pada pendua pada setiap masa, meninggalkan imej asal yang utuh sekiranya pengesahan bebas diperlukan.

Satu lagi cadangan utama adalah untuk membina garis masa terperinci yang mengintegrasikan maklumat daripada Log Peristiwa, Prefetch, Registry, fail LNK, ShellBags, dll. Alat seperti Plaso (Log2Timeline) membantu mencipta kronologi tunggal, yang kemudiannya disemak untuk mengenal pasti korelasi yang mencurigakan antara peristiwa.

Penting juga untuk mengutamakan analisis berdasarkan konteks kejadian . Tidak semua artifak sama relevan dalam setiap kes: dalam serangan ransomware, program permulaan dan aktiviti penyulitan akan menjadi sangat menarik; dalam pelanggaran data, sejarah peranti USB dan pintasan terkini akan menjadi lebih penting.

Mengautomasikan tugasan berulang merupakan satu lagi perkara penting. Menggunakan alatan dan skrip untuk mengumpul, menapis dan meringkaskan data forensik menjimatkan masa, mengurangkan ralat manusia dan membebaskan lebih banyak ruang untuk analisis peringkat tinggi. Walaupun begitu, tiada laporan serius yang harus bergantung semata-mata pada keputusan automatik: semakan kritikal oleh penganalisis sentiasa diperlukan.

Akhir sekali, adalah penting untuk mendokumentasikan setiap langkah proses dalam log analisis . Merekodkan arahan yang dilaksanakan, imej yang dijana, alat yang digunakan dan versi yang digunakan, serta sebarang insiden semasa prosedur, membantu mengekalkan rantaian jagaan yang jelas dan membolehkan pembelaan kerja dalam tetapan perundangan atau audit.

Peranan pakar forensik dan makmal khusus

Keseluruhan ekosistem teknikal ini memerlukan profesional dengan gabungan kemahiran yang kompleks. Pakar keselamatan siber yang baik bukan sahaja tahu cara menggunakan alatan, tetapi juga mempunyai pemahaman yang mendalam tentang sistem pengendalian, rangkaian, perkakasan, peraturan perundangan dan prosedur kehakiman.

Banyak syarikat keselamatan siber telah menubuhkan makmal penyelidikan forensik yang canggih , dilengkapi dengan perisian khusus untuk analisis peranti mudah alih, pengekstrakan dan penyahkodan data, alat analisis rangkaian, platform analisis perisian hasad dan penyelesaian perisikan siber tertentu.

Makmal-makmal ini menawarkan perkhidmatan analisis forensik ke atas semua jenis perkakasan dan perisian : komputer, tablet, telefon bimbit (Windows, Android, iOS), cakera keras, pemacu USB, aplikasi pesanan seperti WhatsApp, e-mel, pangkalan data, halaman web, rangkaian dalaman dan banyak lagi.

Selain menjalankan analisis itu sendiri, mereka menyediakan laporan pakar yang komprehensif yang memenuhi keperluan prosedur dan menyediakan sokongan dalam perbicaraan, timbang tara atau penyelesaian di luar mahkamah. Kebanyakan pasukan ini memegang pensijilan yang diiktiraf dalam keselamatan maklumat dan penggodaman etika, yang menambah kredibiliti teknikal mereka.

Sementara itu, syarikat yang mempunyai pengalaman luas dalam pengaturcaraan dan sistem melengkapi perkhidmatan analisis forensik mereka dengan ujian penembusan dan perundingan pencegahan . Dengan cara ini, mereka bukan sahaja bertindak balas terhadap insiden lalu tetapi juga memanfaatkan pengalaman yang diperoleh untuk mengukuhkan pertahanan, melatih pekerja dan mengurangkan serangan permukaan pada masa hadapan.

Melihat disiplin ini secara keseluruhan, forensik sistem telah menjadi alat yang sangat diperlukan untuk memahami serangan siber secara menyeluruh, menentukan tanggungjawab, memulihkan maklumat dan meningkatkan keselamatan . Dalam persekitaran di mana jenayah siber berleluasa dan data telah menjadi aset penting, mempunyai pakar dan prosedur yang mantap membuat perbezaan antara bertindak balas secara membuta tuli dan membuat keputusan yang bermaklumat, berkesan dan boleh dipertahankan dari segi undang-undang.