Bewaar herkomst, niet alleen een screenshot
Een nuttig bewijsrecord identificeert het originele artefact, de verzamelaar, de verzamelmethode, de gegevensbron en de UTC-tijd. Bewaar ruwe responsen, evenals de menselijk leesbare interpretatie. Een screenshot kan het uiterlijk documenteren, maar vervangt geen berichtheaders, DNS-antwoorden of respons artefacten.
Openbare registers wijzigen. Een latere opzoeking kan afwijken van de gegevens die beschikbaar waren toen een incident plaatsvond. Noteer de observatietijd expliciet en vermijd de suggestie dat een huidige DNS-respons historische omstandigheden beschrijft.
Integriteit en verwerking
Bereken cryptografische hashes voor bewaarde bestanden en leg de hashwaarden vast in een gecontroleerd bewijslogboek. Een hash helpt veranderingen aan een artefact te detecteren; het bewijst niet dat de oorspronkelijke inhoud accuraat was of dat de verzamelaar de juiste procedure heeft gevolgd.
Houd een bewijsketen bij die het bezit, overdrachten, toegang en doel beschrijft. Pas toegangscontroles, bewaarregels en dataminimalisatie toe die passen bij het onderzoek. De juridische toelaatbaarheid hangt af van de jurisdictie en omstandigheden, niet alleen van een rapportformaat.
Feiten, gevolgtrekkingen en beperkingen
Scheid ruwe observaties, analytische interpretatie en onbeantwoorde vragen duidelijk. Vermijd het noemen van een operator uitsluitend op basis van een registrar, gedeeld hostingadres of privacyproxy. Maak elke materiële conclusie traceerbaar naar ondersteunend bewijs.
- Bewaar originele artefacten en ruwe lookup-reacties.
- Registreer bron, methode, UTC verzameltijd en verzamelaar.
- Hash bewaarde bestanden en logboekafhandelingsgebeurtenissen.
- Label feiten, hypothesen en niet-beschikbare velden afzonderlijk.
- Vermeld beperkingen van gegevensverzameling en zoek waar nodig juridisch advies.