Standards and Best Practices in Digital and Multimedia Forensics Shujun LI , Mandeep K. Dhami and Anthony T. S. Ho Department of Computing and Surrey Centre for Cyber Security (sccs)

60
Handbook of Digital Forensics of Multimedia Data and Devices
SWGDE ‘Best Practices for Computer Forensics’ Version 3.1 (2014a)
This document aims to outline best practices for computer forensics (forensics of
normal computers like desktop PCs), starting from evidence collection and handling to
report presentation and policy review. The sequence of information presented is very
similar to that defined in ISO/IEC 27037, but it is more general in nature. However, an
additional section of forensic imaging is included that briefly discusses how images
should be taken.
SWGDE ‘Focused Collection and Examination of Digital Evidence’ Version 1.0
(2014h)
This document provides forensic examiners with a list of considerations when dealing
with the review of large amounts of data and/or numerous devices so that they can
focus their investigation on more relevant types of evidence. The main goal of this
focused approach is to maximize efficiency and utilization of resources, so it can be
considered as part of a generalized triage process.
SWGDE ‘Establishing Confidence in Digital Forensic Results by Error Mitigation
Analysis’ Version 1.5 (2015)
This document provides a process for recognizing and describing errors and limitations
associated with digital forensics tools. It starts with an explanation to the concepts
of errors and error rates in digital forensics and highlights the differences of those
concepts from other forensic disciplines. This document suggests that confidence in
digital forensic results can be enhanced by recognizing potential sources of error
and applying mitigating techniques, which include not only technical means but also
trained and competent personnel using validated methods and following recommended
best practices.
SWGDE ‘Capture of Live Systems’ Version 2.0 (2014f)
This document provides guidance on acquiring digital evidence from live computer
systems. A primary concern is to capture and save data in a usable format. Factors
that a forensic examiner should consider include the volatility or the volume of data,
restrictions imposed by legal authority, and the use of encryption. It covers both volatile
memory and data from mounted file systems as stored in a computer.