04 :: CSI: INTERNET

Ze worden ingehuurd door de Nederlandse overheid, multinationals en particulieren. Om digitale informatie te beveiligen of juist te achterhalen. ‘Iedereen laat overal in de digitale wereld sporen achter. Je komt bijna nergens meer mee weg.’

door Francisco van Jole

Er moet een virtuele slotgracht komen rond de grote steden, stelde de Raad van Hoofdcommissarissen vorige maand. Een ring van technologie die met technieken als gezichtsherkenning in de gaten houdt wie de stad in wil, waar gestolen auto’s rijden, wie nog boetes moet betalen. ‘Big Brother!’, riepen de critici in koor. Maar in de praktijk bestaat zo’n systeem ter bestrijding van criminaliteit al lang. Het ligt alleen niet om de stad maar ongemerkt om alle inwoners die in aanraking komen met computers. Alles wat we doen wordt vastgelegd op servers, in caches en in logfiles.
‘Het is praktisch onmogelijk om iets te doen in de digitale wereld zonder dat er sporen achterblijven die achterhaald kunnen worden. Je komt, om het anders te stellen, bijna nergens meer mee weg. Het resultaat is dat wij negentig procent van de zaken oplossen’, zegt forensisch specialist Menno van der Marel zonder met zijn ogen te knipperen. ‘Mensen hebben er geen idee van. Als gebruikers bijvoorbeeld gegevens willen wissen, dan formatteren ze hun harddisk en installeren ze Windows opnieuw. Dat lijkt voldoende maar dat is het niet. Voor ons is het in zo’n geval een fluitje van een cent om de verwijderde gegevens weer terug te halen.’
Van der Marel richtte in 1999 samen met Ronald Prins het digitale recherchebureau Fox-IT op. Zes jaar later werken er veertig mensen en heeft het bedrijf een ijzeren reputatie opgebouwd. De overheid vertrouwt het bedrijf de beveiliging van staatsgeheimen toe. Multinationals roepen de hulp ervan in bij beveiliging. Maar ook de media ontdekken de indrukwekkende vaardigheden van de digitale speurneuzen. In opdracht van Nieuwe Revu legde Fox-IT de ingenieuze werkwijze van een internationaal kinderpornonetwerk bloot. Voor Radio 1 bracht het bureau een vanuit Nieuwegein opererend netwerk in kaart dat op internet terrorisme propageert. En vorig jaar werd het door het blad Carp uitgeroepen tot Coolest Company.

Technische foefjes
Van der Marel en Prins begonnen niet met lege handen. Beiden waren afkomstig van de afdeling computercriminaliteit, die halverwege de jaren negentig uit de grond was gestampt bij het Nationaal Forensisch Instituut (NFI). Van der Marel was daar terechtgekomen na een studie natuurkunde aan de TU Delft. Hij had zich vooral verdiept in de eigenschappen van magnetisme, het natuurverschijnsel dat wordt gebruikt om informatie weg te schrijven op hard disks en andere elektronische opslagmedia.
Het NFI had al vroeg in de jaren negentig een gedegen reputatie opgebouwd op het gebied van hacken, en dan in de oorspronkelijke betekenis van het woord: het omzeilen van technische beperkingen. ‘We konden daar met een keur aan middelen ervaring opdoen en hadden het recht om aan allerlei spullen van criminelen te zitten. Al snel viel op dat de technische foefjes die dergelijke lieden gebruikten er wel mooi uit zagen maar nauwelijks werkten. Ze codeerden bijvoorbeeld gevoelige bestanden die verbluffend eenvoudig te kraken bleken, doordat de gebruikte technologie niet goed genoeg was’, aldus Van der Marel, die fijntjes constateert dat gecodeerde bestanden een geliefd object voor recherchewerk vormen. ‘Het voordeel is dat je als speurder meteen weet waar de waardevolle informatie verborgen zit. Dan is het nog slechts een kwestie van er bij komen.’
Als criminelen er al niks van bakten dan was het bij bedrijven niet veel beter gesteld, realiseerde het duo zich. Behalve wat accountants die af en toe een onderzoek deden, hield inderdaad niemand zich in het bedrijfsleven met speurwerk bezig. Ze roken een kans en bovendien uitbreiding van hun werkterrein. Als experts van het NFI werden ze pas ingeschakeld als het misdrijf reeds gepleegd was. Als ondernemers daarentegen zagen ze veel meer brood in het voorkomen van digitale vergrijpen: security.

Spionage
Fox-IT houdt zich dan niet alleen bezig met recherchewerk, maar ook met beveiliging. ‘Het voordeel van die combinatie is dat we goed op de hoogte zijn van werkwijzen en interesses van bijvoorbeeld hackers. We weten wat ze zoeken en daardoor kunnen we de indringers beter tegenhouden.’
In het kantoor van Fox-IT, gehuisvest in een groot maar onooglijk herenhuis aan een drukke doorgaande weg in Rijswijk, bevindt zich het zogeheten Security Operations Center, een soort war room, waar permanent de computersystemen van aangesloten klanten in de gaten worden gehouden. Het centrum is dubbel uitgevoerd, een exacte kopie bevindt zich elders in het land. ‘We hebben samen met de TU Delft een zelflerend inbraakdetectiesysteem ontwikkeld, dat met behulp van kunstmatige intelligentie kan bepalen of er binnen een netwerk afwijkend gedrag plaatsvindt. Dit expertsysteem bepaalt zelf bij welke afwijkingen alarm moet worden geslagen. Bijvoorbeeld als er een nieuwe machine wordt aangesloten die een grote hoeveelheid data opzuigt. Het kan loos alarm zijn, maar ook een consultant van buiten die even wat zaken kopieert. Of iemand die op het punt staat te vertrekken bij het bedrijf. Die pakken we vaak zo.’
Dat laatste is een praktijk waar Fox-IT voortdurend mee te maken krijgt: bedrijfsspionage. ‘Meestal gaat het om het doorspelen van informatie aan de concurrent.’ De razendsnelle opkomst van gadgets met een grote opslagcapaciteit, zoals de iPod, maakt die diefstal steeds makkelijker. Probleem daarbij is dat ze veelal tot privé-bezit behoren en niet zonder toestemming van de verdachte onderzocht mogen worden. ‘Een idee is om dergelijke speeltjes als werkgever te verstrekken. Dan kan je ze ook weer in beslag nemen.’
Het systeem brengt echter ook andere zaken aan het licht. Zo wordt er aan de hand van steekwoorden gecontroleerd of werknemers zich wel houden aan de policy van het bedrijf. ‘Niemand die het zich realiseert maar er zijn werknemers die onder werktijd bijvoorbeeld een illegale handel in dvd’s drijven. Ik durf de stelling aan dat er bij ieder bedrijf met meer dan tweehonderd mensen wel zo iemand is. In een onderzoek dat nu loopt bij een bedrijf met meer dan tweeduizend werknemers hebben we al verschillende groepen geïdentificeerd die los van elkaar opereren in deze tak.’

Valstrik
Maar niet altijd is de werknemer schuldig. Soms is het juist andersom. ‘Regelmatig is er sprake van een set-up. Bij een werknemer waar men vanaf wil, wordt bijvoorbeeld stiekem kinderporno op de computer geplaatst en vervolgens schakelt men ons in. Wij kunnen achterhalen of iemand die bestanden er zelf op heeft gezet. Of waar ze vandaan komen. We tonen dan juist de onschuld van de verdachte aan.’
Het gaat overigens niet alleen om bedrijven. ‘We werken nu aan twee moordzaken. Niet in opdracht van justitie maar ingehuurd door particulieren, mensen uit de directe omgeving van het onderzoek. Bijvoorbeeld een verdachte die vreest dat hij er door anderen ingeluisd wordt met een geconstrueerd motief. Dat kan doordat in steeds meer gewone misdrijven de computer een rol speelt. Denk alleen maar aan e-mails die een bepaalde richting uit wijzen. Of dat mensen op internet een geheim dubbelleven blijken te leiden.’

Dat is misschien nog wel het meest griezelige aan de werkzaamheden van Fox-IT. Vijf jaar geleden schreef de Amerikaanse rechter James Rosenbaum naar aanleiding van een aantal zaken waarin met behulp van dit soort technieken de meest persoonlijke zaken opgedoken en uit hun verband gerukt werden, een pleidooi voor wat hij noemde ‘het recht op de delete-key’. Volgens hem moet een mens in staat gesteld worden zich van dingen te ontdoen, zoals je een foto kunt verbranden of een brief in de open haard kan werpen. In de digitale wereld blijkt dat amper mogelijk. Alles kan je je hele leven blijven achtervolgen. ‘Hij heeft wel een punt’, erkent Van der Marel. ‘Het zou mooi zijn als dat recht werd ingevoerd.’