Standards and Best Practices in Digital and Multimedia Forensics Shujun LI , Mandeep K. Dhami and Anthony T. S. Ho Department of Computing and Surrey Centre for Cyber Security (sccs)

NIST SP 800-72 ‘Guidelines on PDA Forensics’ (2004)
This publication focuses on personal digital assistants (PDAs) and provides guidance
on the preservation, examination and analysis of digital evidence on PDAs. It focuses
on the properties of three families of PDAs:
1. Pocket PC
2. Palm OS
3. Linux-based PDAs
This guide also outlines actions to be taken during the course of evidence handling,
device identification, content acquisition, documentation and reporting, in addition to
forensic tools needed for such activities. The two main objectives of the publication are
to aid organizations in gradually developing SOPs and strategies for forensic actions
involving PDAs, and to prepare forensic examiners and first responders to effectively
tackle any obstacles and challenges that might arise with digital evidence on PDAs.
This guide is also intended to be used in addition with other guidelines to present
more detailed insight into the issues associated with PDAs.

---

“c02” — 2015/6/19 — 20:53 — page 57 — #20
Standards and Best Practices in Digital and Multimedia Forensics
57
NIST SP 800-86 ‘Guide to Integrating Forensic Techniques into Incident
Response” (2006)
This special publication is a detailed guide for organizations to help them build a
digital forensic capability. It focuses on how to use digital forensic techniques to assist
with computer security incident response. It covers not only techniques but also the
development of policies and procedures. This NIST guide should not be used as an
executive guide for digital forensic practices. Instead, it should be used together with
guidance provided by legal advisors, law enforcement agencies and management.
The guide provides general recommendations for the forensic process in four phases:
collection, examination, analysis and reporting. For the analysis phase, it covers
four major categories of data sources: files, operating systems, network traffic and
applications. For each category, it explains basic components and characteristics of
data sources and also techniques for the collection, examination and analysis of the
data. It also provides recommendations when multiple data sources need analyzing for
a better understanding of an event.
The document also highlights four basic guidelines to organizations:
1. Organizations should establish policies with clear statements addressing all major
forensic considerations and also conduct regular reviews of such policies and
procedures.
2. Organizations should create and maintain digital forensic procedures and guidelines
based on their own policies and also all applicable laws and regulations.
3. Organizations should ensure that their policies and procedures support use of the
appropriate forensic tools.
4. Organizations should ensure that their IT professionals are prepared for conducting
forensic activities.