Network Forensic Analysis Tools (NFAT) is het vastleggen, registreren en analyseren van gebeurtenissen in het netwerk om de oorzaak van incidenten te ontdekken. Volgens Simson Garfinkel, auteur van diverse boeken over netwerkveiligheid, kan het netwerk van forensische systemen in twee soorten worden opgesplitst:
“
Catch-it-as-you-can”-systemen, waarbij alle pakketten die een bepaald punt passeren opgeslagen worden en vervolgens geanalyseerd worden in de batch mode. Deze aanpak vereist veel opslagcapaciteit, waarbij meestal een RAID-systeem gebruikt wordt.
“
Stop, look and listen”-systemen, waarbij elk pakket geanalyseerd wordt en slechts bepaalde informatie wordt opgeslagen voor verder onderzoek. Deze aanpak vergt minder opslagruimte, maar kan een snellere processor nodig hebben om het dataverkeer snel te houden.
Beide vereisen een aanzienlijke opslagcapaciteit en de noodzaak om af en toe oude gegevens te wissen om ruimte te maken voor nieuwe. Een bezorgdheid over de “Catch-it-as-you-can”-benadering is de privacy, omdat alle pakketinformatie (met inbegrip van gebruikersgegevens) wordt opgeslagen.
De Electronic Communications Privacy Act (ECPA) verbiedt Internet Service Providers (ISP's) dan ook het afluisteren of openbaar maken van de onderschepte inhoud, behalve met toestemming van de gebruiker of onder een gerechtelijk bevel. De Amerikaanse FBI Carnivore is een controversieel voorbeeld van een NFAT.
Terug naar het woordenboek