Intro
Ddos-aanvallen, creditcardfraude, phishing, kinderporno, spam, gekraakte websites, identiteitsdiefstal; vrijwel elke dag wordt er in het nieuws over bericht. De tendens is overduidelijk: de misdaad verschuift zijn werkterrein steeds meer van de fysieke naar de virtuele wereld, mede geholpen door een lage pakkans en de snelle verdiensten. Maar ook fraude door werknemers, bijvoorbeeld het doorspelen van bedrijfsgeheimen, wordt met het steeds toegankelijk worden van internet gemakkelijker en aantrekkelijker. Niet voor niets slaan opsporingsinstanties de handen in elkaar.
Om cybercrime effectief op te sporen en te bestrijden, zijn nieuwe vakmensen nodig: forensisch onderzoekers die overweg kunnen met moderne netwerktechnologie om zo bewijsmateriaal te lokaliseren en veilig te stellen. Deze digitale rechercheurs kunnen niet alleen aan de slag bij de politie, maar ook vanuit het bedrijfsleven is een groeiende vraag naar dergelijke specialisten. Er is echter een probleem: er zijn nog onvoldoende forensisch onderzoekers in Nederland beschikbaar die voldoende weten over de hedendaagse netwerktechnologie en zijn gebruikers, en daarnaast op de hoogte zijn van de wettelijke kaders waarbinnen het opsporen moet gebeuren.
De nieuwe afstudeerrichting
De Hogeschool Zuyd, gevestigd in Limburg, wil deze leemte gaan opvullen. De vierjarige HBO-opleiding Netwerk Infrastructuur Design is deze maand in Heerlen begonnen met het aanbieden van een nieuwe afstudeerrichting: Network Forensic Research. De eenjarige specialisatie volgt op een drie jaar durend studietraject Netwerk Infrastructuur Design. Tijdens deze fase krijgen alle studenten basiskennis aangeboden op het gebied van netwerkservices, infrastructuur en design.
De opzet
Om de nieuwe afstudeerrichting op poten te zetten, heeft de Hogeschool Zuyd contact gezocht met het bureau voor digitaal forensisch onderzoek Fox-IT. Senior-docent en projectleider van de studie Joep Aerts vertelt over de samenwerking met het bedrijf: 'We hebben samen gekeken of we aan de stof van de bestaande opleiding zaken moesten aanpassen om een afstudeerrichting mogelijk te maken. Dat viel mee. Een aantal kleine wijzigingen hebben we doorgevoerd aan het basispakket, zoals uitleg over het authenticatieproces bij databases. Ook hebben we voor studenten die de forensische kant op willen gaan het normaal gebruikte Visual Basic vervangen door Perl. Deze taal wordt bij het maken van forensische tools het meest gebruikt.'
Pepijn Vissers van Fox-IT is nauw betrokken geweest bij het inrichten van de specialisatie. Het bedrijf telt tachtig werknemers en doet regelmatig forensisch onderzoek op netwerken van bedrijven. Met name grote organisaties, zoals banken en overheidsinstellingen, schakelen specialistische bedrijven als Fox-IT in om bijvoorbeeld interne fraude op het spoor te komen. Fox-IT heeft in samenwerking met de Hogeschool Zuyd de docenten bijgeschoold om zo de studenten de kneepjes van het forensisch vak bij te kunnen brengen. Volgens Vissers komt een opleiding in Nederland als geroepen: 'Wij moesten veel mensen intern opleiden, wat veel tijd en geld kost. Ook zijn HBO'ers pragmatischer in het aanpakken van cases dan studenten van universiteiten.'
CSI
De Amerikaanse misdaadserie Crime Scene Investigation is in Nederland een van de best bekeken televisieseries. Hoewel in CSI misdaden door een forensisch onderzoeksteam worden opgelost, gebeurt dit vrijwel uitsluitend met behulp van DNA, vingerafdrukken en andere fysieke sporen. De analyse van een tcp/ip-dump door een toegewijd digitaal rechercheur gaat de scenarioschrijvers waarschijnlijk te ver. Toch oefent de serie ook een aantrekkingskracht uit op liefhebbers van technologie, doordat de agenten tijdens hun zoektocht naar de dader al dan niet bestaande gadgets gebruiken.
Hoewel een netwerkforensicus Nederland waarschijnlijk nooit een wapen zal trekken, is CSI een enorme 'aanjager' gebleken voor het forensisch vak; Aerts verwacht dat zijn afstudeerrichting gedurende de komende jaren volgeboekt zal zijn. Volgens Pepijn Vissers is het netwerkspecialisme ondanks het nerdimago ook een romantisch vak: 'Op het moment dat jij via sporenonderzoek tastbare feiten aan het licht kan brengen, die in het verleden nooit zijn opgelost of herkend, geeft dat een behoorlijk goed gevoel.'
Theorie & praktijk
Het vakkenpakket van de afstudeerrichting bestaat uit een theoretische en een praktische component. Bij de theorievakken komen onderwerpen als ethiek en juridische kaders zoals de Wet bescherming persoonsgegevens aan de orde. Een forensische onderzoeker moet immers weten wat hij binnen de wet wel en niet mag doen. Maar ook social engineering, een veelbeproefde techniek die hackers inzetten om vertrouwelijke of geheime informatie van mensen te ontfutselen, wordt besproken.
Onderzoekslab
Aan de onderzoekslaboratoria voor de praktijkvakken wordt nog gewerkt; de benodigde hardware zal in januari worden geleverd. Aerts zegt daarover: 'Vanaf begin volgend jaar kunnen we aan de slag met bijvoorbeeld het analyseren van gevallen uit de praktijk. Deze cases plaatsen we met behulp van serverimages op een computer. Het is dan aan de student om de zaak te onderzoeken.'
Op softwaregebied streeft de school ernaar om zoveel mogelijk gereedschap te gebruiken dat aansluit bij de markt. Behalve het 'Amerikaanse standaardspul', zoals EnCase Forensic en Forensic Toolkit, wordt ook opensourcesoftware gebruikt. Zo kan voor het sniffen van netwerken Wireshark, vroeger bekend als Ethereal, zijn nut bewijzen, maar de student moet ook om kunnen gaan met commandline-gereedschap als Tcpreplay. De studenten moeten zowel met tools voor het Windows- als het Linux-platform kunnen werken.
Mobiele apparatuur
Niet alleen pc's, servers en netwerken zijn interessant voor forensisch onderzoek; steeds meer nuttige data zit verstopt in mobiele telefoons, pda's en digitale camera's. Ook usb-sticks zijn populaire dragers, vooral bij plegers van bedrijfsfraude. Om deze melee van apparaten uit te kunnen lezen, is de juiste software en hardware nodig. Zo kunnen bijvoorbeeld loggegevens van een gsm als bewijs dienen tijdens een rechtszaak. Volgens Aerts is Nederland 'vrij ver' op dit gebied en zullen zijn studenten in ieder geval over de nodige tools beschikken, zonder verder in detail te willen treden.
Kansen en toekomstplannen
De kansen voor toekomstig afgestudeerden zijn volgens Aerts zeer gunstig: 'De verwachting is dat deze studenten in navolging van de nid'ers vele banen aangeboden krijgen.' Een kwart van het forensisch werk wordt gedaan door mbo'ers die de opleiding tot digitaal particulier rechercheur hebben afgerond.. Universitair geschoolden houden zich op hun beurt vooral bezig met de grote lijnen van het forensisch vakgebied. Zo ontwikkelen wo'ers bijvoorbeeld nieuwe algoritmes voor het analyseren van onderzoeksdata. Aerts schat dat 65 procent van de markt vraagt om analytisch goed onderlegde hbo'ers die onderzoeken binnen de juridische kaders kunnen afronden en daarover gedegen rapportages kunnen schrijven.
Bedrijven als Cap Gemini, Simac, Fox-IT en anderen zouden nu al bij de Hogeschool Zuyd aankloppen met het verzoek om afgestudeerden direct hun kant op te sturen. Vooral bij grotere organisaties wordt het steeds belangrijker om ook de eigen it-organisatie te kunnen screenen, zonder dat systeembeheerders dit doorhebben. Het is volgens Aerts steeds vaker het geval dat fraude van binnenuit wordt gepleegd: 'Het is immers makkelijker een systeembeheerder om te kopen, dan via hacking omwegen te bewandelen om op die manier een netwerk binnen te komen.'
Kersverse netwerkforensici kunnen ook aan de bak bij overheidsdiensten, bijvoorbeeld de digitale recherche. Wel moeten de afgestudeerden dan opnieuw de schoolbanken in om een opsporingsbevoegdheid aan de politieacademie te behalen, in jargon 'blauwgeverfd' worden.
Ambitieus
De Hogeschool Zuyd kan ambitie niet ontzegd worden. De onderwijsinstelling wil uitgroeien tot een internationaal kenniscentrum op het gebied van beveiliging en forensisch netwerkonderzoek. Door de strategische ligging van Heerlen op nog geen 20 kilometer van het drielandenpunt hoopt de Hogeschool ook studenten uit België en Duitsland aan zich te binden. Zo hoopt Aerts op termijn een alternatief te vormen voor de Universiteit van Amsterdam, die samenwerkt met het in Den Haag gevestigde Nederlands Forensisch Instituut.
Studenten over het vak
In totaal vormen negen studenten de eerste lichting network forensics. Drie van hen leggen kort uit waarom ze deze specialisatie kozen en wat ze in de toekomst met de opgedane kennis kunnen doen.

Erik-Jan de Kruijf (21)
'Het designen van netwerken begon ik minder interessant te vinden. En dan komt zoiets nieuws op je pad. Als je dan ook verslaafd bent aan de tv-serie CSI weet je het wel.'
'Ik wil bij de politie gaan werken of bij audit-teams plaats gaan nemen. Waarschijnlijk zal ik in de praktijk vooral met bedrijfsspionage te maken krijgen.'

Marc Miller (20)
'Ik begon het ontwerpen van netwerken eentonig te vinden. Het juridische gedeelte spreekt mij enorm aan, omdat je met twee werkvelden bezig bent. Zo moet je opsporen en daarnaast rapporteren.'
'Na de opleiding wil ik misschien wel een eigen bedrijfje beginnen, na eerst wat ervaring te hebben opgedaan. Het is een enorme markt.'

Remco Sprooten (23)
'Ik ben al vijf jaar bezig met de richting netwerken, maar security trekt mij het meest. Ik wil zaken oplossen door achter bepaalde informatie te komen. Daarnaast is de opleiding nieuw en het geeft veel mogelijkheden.'
'Overheidsinstanties bieden meestal goede arbeidsvoorwaarden, maar in het bedrijfsleven heb je meer doorgroeimogelijkheden en ze zijn de overheid een stapje voor in up-to-date zijn.'