Amikor egy okostelefon hirtelen szokatlan aktivitást mutat, felfedi egy másik személy személyes adatait, vagy fontos üzeneteket hagy ki, gyorsan felmerül a kérdés, hogy történt-e jogosulatlan hozzáférés. Egy technikai vizsgálat azonban nem azzal a feltételezéssel kezdődik, hogy kémprogram, hackertámadás vagy szándékos manipuláció van jelen. Ami számít, az a készüléken és a hozzá tartozó adatforrásokban ténylegesen jelen lévő digitális nyomok.

Bremeni magánszemélyek számára okostelefonokat, számítógépeket és egyéb digitális bizonyítékokat vizsgálunk, különösen jogosulatlan hozzáférés gyanúja, törölt kommunikáció, gyanús felhasználói fiókok vagy szétválást követő digitális viták esetén. A vállalkozásoknak IT forenzikus támogatásra van szükségük olyan helyzetekben, mint az adatszivárgás, belső gyanú, kiberbiztonsági incidensek vagy bizalmas üzleti és projektadatok potenciális nyilvánosságra kerülése.

Bremennek megvan a saját, egyedi gazdasági kontextusa. A kikötői műveletek és logisztika, a repülőgépipar, az autóipar és a nemzetközi hálózatokban működő ipari vállalatok alakítják a helyszínt. A digitális adatok itt magukban foglalhatják a személyes kommunikációt, valamint a műszaki dokumentációt, az ellátási lánccal kapcsolatos információkat, a fejlesztési adatokat vagy az érzékeny vállalati információkat.

IT forenzika Bremenben – mely digitális nyomok valóban jelentősek?

Egy forenzikus vizsgálat célja nem a lehető legtöbb adat megtalálása, hanem egy konkrét kérdés megválaszolása. Hozzáfért-e valaki egy okostelefonhoz? Megtalálhatók-e törölt kommunikáció nyomai? Feldolgoztak-e bizonyos fájlokat egy céges számítógépen? Mely rendszereket érintette egy kiberbiztonsági incidens?

Egyetlen tárgy gyakran nem elegendő. Egy számítógéphez csatlakoztatott USB-meghajtó nem bizonyítja az adatlopást. Egy ismeretlen bejelentkezés nem azonosítja automatikusan az elkövetőt. A megnövekedett akkumulátorfogyasztás pedig nem technikai bizonyíték az okostelefonos megfigyelésre.

Egy vizsgálat megbízhatóbbá válik, ha több műszaki információ illeszkedik egymáshoz, és idővel összefüggésbe hozható egymással.

Mobiltelefon-szakértés magánszemélyek számára Bremenben

Manapság az okostelefonok a személyes életünk nagy részét tartalmazzák: WhatsApp és más üzenetküldő alkalmazások, fényképek, e-mailek, névjegyek, felhasználói fiókok, helyadatok, felhőkapcsolatok és számos alkalmazásadat.

Egy vizsgálat hasznos lehet például, ha tudni szeretnéd :

• vannak-e jelek jogosulatlan hozzáférésre,
• hogy észlelhetők-e szokatlan alkalmazások vagy konfigurációk,
• hogy ismeretlen eszközök csatlakoznak-e a fiókjaidhoz,
• hogy a törölt WhatsApp-üzenetek technikailag továbbra is relevánsak lehetnek-e,
• hogy a szétválás után is léteznek-e digitális hozzáférési módszerek,
• hogy a fényképek, dokumentumok vagy egyéb adatok továbbra is menthetők-e,
• vagy hogy a digitális információkat jogi célokból dokumentálni kell-e.

Az, hogy mely adatok vizsgálhatók meg valójában, többek között az eszköztől, az operációs rendszertől, a biztonsági állapottól, a titkosítástól és a technikailag rendelkezésre álló kinyerési módszertől függ.

Feltörhették a telefonomat – mit lehet kivizsgálni?

Jogosulatlan hozzáférés gyanúja esetén az eszköztől függően megvizsgálhatók az alkalmazások, engedélyek, rendszerösszetevők, felhasználói fiókok és egyéb technikailag releváns információk.

Fontos, hogy ne kizárólag klasszikus kémprogramokat keressünk. Az ismert jelszavak, a még mindig engedélyezett eszközök, a megosztott Apple- vagy Google-fiókok, a felhőalapú szinkronizálások vagy az összekapcsolt üzenetküldő eszközök szintén ahhoz vezethetnek, hogy egy másik személy hozzáfér az információkhoz.

Egy alapos vizsgálat tehát nyitott végű marad. Ha a rendelkezésre álló adatokban nem találnak megbízható bizonyítékot a kompromisszumra, akkor ez a megállapítás is az eredmény része.

Külső hozzáférés válás után

Különösen szakítások után gyakran merülnek fel digitális bizonytalanságok. A korábbi partnerek esetleg közösen beállították az eszközöket, ismerték a jelszavaikat, vagy felhőalapú és családi funkciókat használtak.

Ez azt jelenti, hogy a digitális kapcsolatok rejtett megfigyelőszoftver telepítése nélkül is fennmaradhattak.

Az esettől függően ezért hasznos lehet nemcsak magát az okostelefont figyelembe venni, hanem a releváns fiókokat, a csatlakoztatott eszközöket és a technikailag elfogadható hozzáférési módokat is.

WhatsApp, mint digitális bizonyíték

A WhatsApp kommunikációnak nagy jelentősége lehet személyes konfliktusokban, csalási ügyekben, fenyegetésekben vagy jogi vitákban.

A forenzikus elemzés nem korlátozódik a csevegés látható szövegére. A rendelkezésre álló adatoktól függően üzenetek, időbélyegek, résztvevői információk, médiatartalmak, dokumentumok, csoportinformációk és egyéb technikai elemek is relevánsak lehetnek.

Egy képernyőképnek más a technikai jelentősége, mint egy ellenőrizhetően biztonságos eredeti forrásból származó adatnak.

A technikai lehetőségeket részletesebben ismertetjük a „WhatsApp-üzenetek igazságügyi kiértékelése” című tudáscikkben.

Törölt üzenetek – mi lehet még ott?

A törölt WhatsApp-üzenetek vagy más kommunikációs adatok nem állíthatók vissza automatikusan. Ugyanilyen helytelen lenne azonban azt az általánosító kijelentést tenni, hogy a törlés után semmilyen technikai információ nem maradhat meg.

Az eszköz, az operációs rendszer, az alkalmazás verziója, az adatbázis állapota, a meglévő biztonsági mentések és a törlés utáni további felhasználás jelentősen befolyásolja a lehetőségeket.

Ha valószínűsíthető a későbbi vizsgálat, a WhatsAppot nem szabad idő előtt újratelepíteni, és ha lehetséges, az okostelefont sem szabad alaphelyzetbe állítani.

Törölt fényképek, videók és dokumentumok

Még a törölt képek, videók vagy dokumentumok is vizsgálat tárgyát képezhetik. A modern okostelefonok azonban titkosított flash memóriát és összetett tárhelykezelést használnak.

Ez jelentősen megkülönbözteti a lehetőségeket a hagyományos merevlemezekétől. Ezért magán az eszközön kívül a meglévő biztonsági mentések, a felhőalapú szinkronizációk vagy más csatlakoztatott rendszerek is relevánsak lehetnek.

iPhone és Android – eltérő technikai követelmények

A szakorvosi vizsgálatot az adott okostelefonhoz kell igazítani. iPhone esetében a modell, az iOS verziója, az eszköz állapota és a biztonsági konfiguráció döntő fontosságú lehet. Androidos eszközök esetében további tényezők, például a gyártó, a lapkakészlet, az operációs rendszer verziója és a biztonsági javítások is változhatnak.

Ezért nem lehet általánosságban megjósolni, hogy mely adatok lesznek elérhetők az egyes eszközökön. A megfelelő biztonsági mentési és elemzési módszer meghatározása előtt a technikai helyzetet egyedileg értékelik.

Számítógépes forenzika magánügyekben

Nem minden digitális folyamat oldható meg kizárólag okostelefonon keresztül. A Windows PC-k, Mac-ek vagy laptopok további nyomokat is tartalmazhatnak.

A rendszertől függően a felhasználói tevékenység, a fájlrendszer-információk, a böngészőadatok, a csatlakoztatott eszközök vagy a felhő- és üzenetküldő szolgáltatásokból származó helyileg tárolt információk lehetnek relevánsak.

További alapvető információkért lásd a „Mi a számítógépes forenzika?” című tudástárcikket.

Adathalászat, smishing és online csalás

Miután rákattintottunk egy csalárd linkre vagy adathalász üzenetet kaptunk, gyakran felmerül a félelem, hogy az egész okostelefonunkat ellopták. Technikailag ez nem feltétlenül van így.

Ezért az események sorrendje kulcsfontosságú a vizsgálat szempontjából: Milyen üzenet érkezett? Melyik linket nyitották meg? Megadták a bejelentkezési adatokat? Letöltöttek egy fájlt? Milyen szokatlan események történtek ezt követően?

A körülményektől függően SMS-üzenetek, e-mailek, böngészőadatok, letöltések és egyéb technikai információk segíthetnek a folyamat érthető módon történő dokumentálásában.

Digitális bizonyítékok ügyvédek és jogi viták számára

Ha a digitális adatok később szerepet játszanak egy jogi vitában, a tartalom önmagában gyakran nem elegendő. Ugyanilyen fontos lehet az adatok eredetének és a megállapítás alapjául szolgáló technikai alapnak a nyomon követése.

Megfelelő biztonsági intézkedésekkel a kriptográfiai hash-értékek felhasználhatók egy meghatározott adathalmaz későbbi integritásának ellenőrzésére. A hash-érték azonban nem bizonyítja sem a tartalom igazságtartalmát, sem azt a személyt, aki egy adott műveletet végrehajtott.

Ez a megkülönböztetés magyarázza a digitális bizonyítékok integritásához való hozzájárulásunkat.

Bremen, mint tengeri, logisztikai és technológiai üzleti helyszín

Bréma gazdasági szerkezete jelentősen eltér sok más német városétól. A kikötői műveletek és a nemzetközi logisztika találkozik a repülőgépiparral, az autóiparral, az ipari termeléssel és más technológia-intenzív ágazatokkal.

Az ilyen vállalatoknál a digitális információk gyakran azonnali gazdasági értékkel bírnak. Az ellátási lánccal kapcsolatos információk, a műszaki dokumentáció, a projektdokumentumok, a tervezési adatok, az ügyfélinformációk és a belső kommunikáció különböző eszközök és rendszerek között terjeszthető.

Konkrét biztonsági gyanú esetén ezért először tisztázni kell, hogy mely adatok lehetnek ténylegesen érintettek, és mely rendszereken várhatók releváns nyomok.

Digitális forenzika a tengerészeti üzletág és logisztika számára

Manapság a logisztikai folyamatok nagymértékben digitalizáltak. Az ügyfelekkel és üzleti partnerekkel való kommunikáció, az áruk és a szállítási információk, a hozzáférési jogok, a dokumentumok és a működési folyamatok összekapcsolt rendszereken keresztül zajlanak.

Adatvédelmi incidens vagy belső gyanú esetén elegendő lehet egyetlen számítógépre koncentrálni. A körülményektől függően a munkaállomás-rendszerek, mobileszközök, felhasználói fiókok és más adatforrások összekapcsolódhatnak.

Egy vizsgálat célja azonban nem az összes vállalati rendszer teljes körű vizsgálata, hanem az, hogy szelektíven biztosítsa azokat a nyomokat, amelyek relevánsak az adott kérdés szempontjából.

Repülőgépipar – érzékeny fejlesztési adatok kriminalisztikai vizsgálata

Bremen erős repülőgépiparral rendelkezik. A kutatás-fejlesztés-intenzív területeken a műszaki dokumentáció, a projektadatok, a fejlesztés állapota és a belső know-how különösen védelmet érdemel.

Amennyiben jogosulatlan adatszivárgás konkrét gyanúja merül fel, a fájltevékenységek, külső adathordozók, felhasználói fiókok és egyéb technikai eszközök megfelelő körülmények között megvizsgálhatók.

Ebben az esetben sem jelenti automatikusan azt, hogy egy fájlt megnyitottak, hogy azt meg is osztották. A forenzikus értékelés azt jelenti, hogy a technikai eseményeket nem értelmezzük túl azon, amit a rendelkezésre álló adatok lehetővé tesznek.

Vállalati kriminalisztika Bremenben

Egy operatív vizsgálat tipikus kérdései a következők lehetnek:

• Lemásoltak vagy töröltek bizalmas fájlokat?
• Milyen külső adathordozókat használtak?
• Voltak-e szokatlan tevékenységek a munkavállaló távozása előtt?
• Használtak már jogosulatlanul egy céges fiókot?
• Volt potenciálisan bizalmas projekt- vagy fejlesztési adat átvitele?
• Mely rendszereket érintette valójában egy kiberbiztonsági incidens?

A műszaki vizsgálat terjedelmét a lehető legszorosabban a feltett konkrét kérdéshez kell igazítani.

Adatszivárgás USB-n, felhőn vagy Messengeren keresztül

A vállalati adatok feldolgozása vagy megosztása többféleképpen történhet. Az USB-meghajtók csak egy lehetséges adatforrást jelentenek. Az e-mail, a felhőszolgáltatások vagy az üzenetküldő alkalmazások is szerepet játszhatnak, a körülményektől függően.

Egyetlen lelet ritkán elegendő a teljes adatszivárgás bizonyításához. Egy rekonstrukció akkor válik meggyőzőbbé, ha több technikai nyomvonal időben és tartalomban is egybeesik.

Kiberincidens – reagáljon és őrizze meg a bizonyítékokat

Aktív biztonsági incidens esetén az elsődleges prioritás a további károk megelőzése. Ugyanakkor a nem összehangolt tűzoltási vagy újratelepítési erőfeszítések fontos műszaki bizonyítékokat módosíthatnak.

Ezért a fenyegetésmegelőzést és a kriminalisztikai vizsgálatokat a lehető legnagyobb mértékben össze kell hangolni. A szükséges rendszerek és adatok az adott támadástól és a vizsgált kérdésektől függenek.

Eszközeink mobil és számítógépes nyomozásokhoz

A különböző eszközökhöz eltérő forenzikus eszközökre van szükség. Ezért a vizsgálat tárgyától függően számos speciális megoldást alkalmazunk.

Cellebrite Inseyets

A Cellebrite Inseyets különösen támogatja a mobil adatok strukturált elemzését. Az eszköztől és a rendelkezésre álló kinyerési lehetőségektől függően a releváns okostelefon-termékek célzottan megvizsgálhatók és összefüggésbe hozhatók.

Cellebrite digitális gyűjtő

A Digital Collector támogatja a számítógépekhez és digitális adattárolókhoz megfelelő adatgyűjtési módszereket. A választott módszer az operációs rendszertől, a hardvertől, a titkosítástól és a vizsgálat céljától függ.

Cellebrite Inspector

Az Inspector lehetővé teszi a kiterjedt számítógépes forenzikus adatkészletek további vizsgálatát, és támogatja a releváns tárgyak strukturált elemzését.

X-Ways Forensics

Az X-Ways Forensics szoftvert adathordozók, fájlrendszerek, partíciók és egyéb számítógépes forenzikus struktúrák mélyreható vizsgálatára használják.

MOBILedit Forensic és MEFF 3 Pro

A MOBILedit Forensic és a MEFF 3 Pro kiegészítik a mobil forenzikát. A több eszközből álló megközelítések különösen hasznosak lehetnek, ha különböző adattípusokat vagy eszközspecifikus struktúrákat kell vizsgálni.

A szoftver önmagában azonban nem ad megbízható eredményt. A keletkező műtermékek szakértői értelmezése továbbra is kulcsfontosságú.

Tanúsított folyamatok és szakértői értékelés

Az LB Detektive GmbH a TÜV NORD által tanúsított, DIN EN ISO 9001 szabvány szerinti minőségirányítási rendszerrel rendelkezik, amelynek hatálya kiterjed az IT forenzikára is . Ezenkívül a szakértő DIN EN ISO/IEC 17024 szabvány szerinti tanúsítvánnyal is rendelkezik.

Mindkét szint különböző funkciókat tölt be: a DIN EN ISO 9001 szabvány a meghatározott szervezeti minőségügyi folyamatokra vonatkozik. A DIN EN ISO/IEC 17024 szabvány szerinti tanúsítás a tanúsított személy bizonyított kompetenciájára vonatkozik.

Az ügyfelek számára különösen fontosak az átlátható vizsgálati eljárások, a bizonyítékok ellenőrzött kezelése és a technikailag érthető értékelés.

Három tipikus vizsgahelyzet Bremenben

A magánjellegű kommunikáció már nem tűnik bizalmasnak.

Egy szakítás után egy másik személy olyan információkhoz férhet hozzá, amelyekhez csak az ő okostelefonján vagy személyes fiókjain keresztül kellene hozzáférnie. Ahelyett, hogy azonnal kémprogramot feltételeznének, leszűkítik a hozzáférés lehetséges technikai eszközeit.

A törölt üzenetek relevánssá válnak egy vitában.

Egy fontos kommunikációs előzmény már nem látható teljes mértékben. Először a rendelkezésre álló adatforrásokat és a biztonsági mentések verzióit vizsgálják meg. Csak ezután lehet felmérni, hogy a további rekonstrukció technikailag megvalósítható-e.

A céges adatok kiszivároghattak, mielőtt egy alkalmazott elhagyta a céget.

Szokatlan fájltevékenység fordul elő korlátozott időkereten belül. A releváns rendszereket, külső tárolóeszközöket és egyéb tárgyakat kontextusban vizsgáljuk, ahelyett, hogy egyetlen eseményből elhamarkodott következtetéseket vonnánk le.

Így működik egy informatikai kriminalisztikai vizsgálat

1. Határozza meg a kutatási kérdést

Először is tisztázzák, hogy melyik konkrét műszaki folyamatot kell vizsgálni.

2. Határozza meg a releváns adatforrásokat

Csak azok az eszközök, adathordozók vagy fiókok lesznek benne, amelyek közvetlenül kapcsolódnak a kérdéses kérdéshez.

3. Gondoskodjon az adatok megfelelő védelméről

A biztonsági mentés módja az eszköztől, az operációs rendszertől, a titkosítástól és a technikai állapottól függ.

4. Digitális nyomok értékelése

A releváns műtermékeket elemzik, és szükség esetén időben vagy tartalmilag összefüggésbe hozzák egymással.

5. Az eredményeket érthető módon dokumentálja

A megbízástól függően a megállapításokat egy vizsgálati jelentésben vagy részletesebb szakértői dokumentációban lehet összefoglalni.

Mit kell kerülni vizsgálat előtt?

• Ne sietve állítsa alaphelyzetbe a gyanús okostelefont.
• Ne töröljön gyanús alkalmazásokat saját kezűleg.
• Ne telepítse újra a WhatsAppot, ha a kapcsolódó üzeneteket törölte.
• Ne telepítsen ismeretlen kémprogramokat vagy tisztítóprogramokat.
• Ne írja felül feleslegesen a meglévő biztonsági mentéseket.
• Adatvédelmi incidens gyanúja esetén ne végezzen szükségtelenül módosításokat a számítógépeken vagy az adattároló eszközökön.

IT forenzika Bremenben és északi működési területeinken

Szolgáltatási területünk Bréma, Bremerhaven, Delmenhorst, Oldenburg, Verden, Achim, Osterholz-Scharmbeck és más északnyugat-németországi városok. Szuperregionális szinten is szoros kapcsolatot tartunk fenn Hannoverrel és Hamburggal.

A régió magánszemélyei, vállalatai és ügyvédei egyaránt megvizsgálhatják az egyes okostelefonjaikat vagy számítógépeiket, valamint a több digitális bizonyítékot tartalmazó összetettebb ügyeket is.

Gyakran ismételt kérdések az IT forenzikával kapcsolatban Bremenben

Magánszemélyként megvizsgáltathatom a mobiltelefonomat?

Igen. A tipikus magánnyomozási esetek jogosulatlan hozzáférést, törölt kommunikációt, feltételezett kémprogramokat, felhasználói fiókokat vagy személyes és jogi vitákhoz kapcsolódó digitális bizonyítékokat foglalnak magukban.

Meg lehet állapítani, hogy hozzáfér-e valaki az okostelefonomhoz?

A lehetséges hozzáférési útvonalak meglévő technikai nyomai megvizsgálhatók. Azonban az, hogy egy adott hozzáférés bizonyítható-e, az eszköztől, a lehetséges hozzáférési útvonaltól és a fennmaradó adatoktól függ.

Hozzáférhet-e a volt partnerem az adataimhoz kémprogramok nélkül?

Igen. Ismert bejelentkezési adatok, még jogosult eszközök, felhőfiókok vagy meglévő szinkronizációs kapcsolatok alternatív hozzáférési módokat biztosíthatnak.

A törölt WhatsApp üzenetek továbbra is tárolhatók?

Bizonyos technikai feltételek mellett adatok vagy más releváns elemek továbbra is jelen lehetnek. A teljes helyreállítás azonban nem garantálható.

Egy képernyőkép elegendő digitális bizonyítékként szolgálhat?

Egy képernyőkép releváns lehet, de kevesebb technikai információt tartalmaz, mint az eredeti adatforrás. Részletesebb értékeléshez az eredeti okostelefon vagy egy megfelelő biztonsági mentés gyakran informatívabb.

Ellenőrizhetik-e a vállalatok, hogy lemásolták-e az adatokat?

A rendszertől függően vizsgálhatók a fájlaktivitások, a külső adattárolók és egyéb technikai nyomok. Az, hogy bizonyos fájlok átvitele bizonyítható-e, az összes rendelkezésre álló adattól függ.

Ki lehet-e vizsgálni egy kibertámadást utólag?

Ez akkor lehetséges, ha megfelelő végberendezések, fiókadatok, protokollok vagy más releváns adatforrások továbbra is rendelkezésre állnak.

Milyen szerepet játszanak a hash értékek?

A hash értékek segítségével ellenőrizhető egy meghatározott adathalmaz integritása egy dokumentált referenciaállapothoz képest. Azonban nem bizonyítják egy fájl tartalmát vagy szerzőségét.

Készíthető szakértői jelentés?

A feladattól függően a műszaki vizsgálati jelentés mellett részletesebb szakértői értékelés és dokumentáció is készíthető.

Hogyan határozzák meg egy vizsgálat költségeit?

A szükséges erőfeszítés a kutatási kérdéstől, az eszközök számától, az adatok mennyiségétől, a technikai hozzáférhetőségtől és a dokumentáció kívánt terjedelmétől függ. Ezért összetettebb esetekben először a vizsgálat tényleges terjedelmét kell meghatározni.

Kérjen bizalmas IT forenzikai konzultációt Bremenben

Egy kezdeti értékeléshez négy információ különösen hasznos: Melyik eszközt vagy rendszert érinti az esemény? Pontosan mit észleltek? Mikor történt a releváns esemény? És azóta használták-e, alaphelyzetbe állították-e vagy más módon módosították-e az eszközt?

Ennek alapján megállapítható, hogy mely digitális bizonyítékokra van valójában szükség, és melyik megőrzési és elemzési módszer a megfelelő az adott esetben. További technikai magyarázatokat a tudásbázisunkban talál.