Digitális nyomok ma már szinte mindenhol keletkeznek: számítógépeken és okostelefonokon, fájlrendszerekben, felhasználói fiókokban, üzenetküldő alkalmazásokban, böngészőkben, külső adathordozókon és szinkronizált adattárakban. Ez az információ legkésőbb akkor válik relevánssá, amikor tisztázni kell, hogy mi is történt valójában egy digitális rendszeren.

Kasseli IT forenzikai szolgáltatásaink magánszemélyeket, vállalatokat, ügyvédeket és szervezeteket támogatnak a digitális adatok professzionális biztosításában, vizsgálatában és értékelésében. Ez magában foglalja Windows rendszerek, Mac számítógépek, notebookok, okostelefonok, merevlemezek, SSD-k, USB-meghajtók, memóriakártyák és egyéb műszakilag releváns adatforrások vizsgálatát.

A feladatok a személyes okostelefonokhoz való esetleges jogosulatlan hozzáféréstől, a törölt fájloktól és a messenger kommunikációtól kezdve az összetett üzleti incidensek rekonstruálásán át az esetleges adatlopásig vagy akár egy informatikai biztonsági incidens kivizsgálásáig terjednek.

A legfontosabb tényező azonban nem az adatok puszta mennyisége. Inkább a megfelelő adatforrások azonosítása, a digitális nyomok módszeres biztosítása, a kapcsolatok felismerése, valamint a technikai megállapítások elkülönítése a feltételezésektől.

IT forenzika Kasselben – amikor a digitális nyomoknak válaszokat kell adniuk

Egy professzionális forenzikus vizsgálat nem egy elemzőprogrammal kezdődik, hanem egy világos kérdéssel.

Jogosulatlanul hozzáfértek egy számítógéphez? Lehetséges, hogy egy alkalmazott bizalmas céges adatokat másolt? Visszaállíthatók-e még a törölt fájlok? Van-e bármilyen technikai bizonyíték arra, hogy egy okostelefont megfigyeltek? Vagy nyomon követhető-e, hogy mikor szerkesztettek egy adott fájlt, vagy mikor használtak külső adattárolót?

Minél pontosabban van megfogalmazva a kutatási kérdés, annál hatékonyabban lehet meghatározni a releváns eszközöket, időszakokat és adathalmazokat. Ez csökkenti az adatok szükségtelen, a kutatási kérdéshez való konkrét kapcsolat nélküli elemzésének kockázatát is.

Pontosan itt rejlik a döntő különbség egy egyszerű technikai áttekintés és a digitális forenzika között. Egyetlen technikai találatnak gyakran korlátozott jelentősége van, míg a kontextusa egy anomáliát megbízható megállapítássá alakíthat.

Milyen digitális rendszereket lehet vizsgálni?

A modern problémák ritkán terjednek ki egyetlen eszközosztályra. Ezért IT forenzikai vizsgálataink a digitális objektumok széles skáláját ölelik fel.

A konkrét feladattól függően többek között a következők lehetnek relevánsak:

• Windowsos PC-k és munkaállomások,
• Notebookok és mobil munkaállomások,
• Apple Mac rendszerek,
• iPhone és Android okostelefonok,
• Merevlemezek és SSD-k,
• USB-kulcsok és külső adathordozók,
• Memóriakártyák,
• meglévő biztonsági mentések és mentések,
• Üzenetküldő és kommunikációs adatok,
• valamint más hozzáférhető digitális adatkészletek.

Az, hogy ezek közül a források közül melyikre van valójában szükség, a kutatási céltól függ. Egy professzionális tanulmány ezért nem gyűjti össze válogatás nélkül az összes rendelkezésre álló adatot, hanem azokat az adatforrásokat rangsorolja, amelyek hozzájárulhatnak a konkrét kutatási kérdés megválaszolásához.

Számítógépes forenzika Kasselben – tevékenységek rekonstruálása Windows PC-ken és Mac-eken

A számítógépek használatuk során számos technikai problémát generálnak. Fájlok jönnek létre, nyílnak meg, módosulnak, áthelyeződnek vagy törlődnek. Ezzel egyidejűleg a felhasználók bejelentkeznek, programok futnak, weboldalakat érnek el, és külső eszközök csatlakoznak.

Számítógépes forenzikai vizsgálataink strukturált módon vizsgálják az ilyen nyomokat, és amennyire technikailag lehetséges, időbeli és ténybeli kontextusba helyezik azokat.

Az operációs rendszertől és a vizsgálat céljától függően például a következő területek lehetnek relevánsak:

• Fájlrendszerek és fájl metaadatok
• törölt fájlok és megmaradt adattöredékek,
• Felhasználói és rendszertevékenységek,
• Esemény- és rendszernaplók,
• Böngésző és letöltési információk,
• csatlakoztatott USB-eszközök,
• külső merevlemezek és egyéb adattárolók,
• helyben tárolt kommunikációs adatok,
• Felhő és szinkronizációs műtermékek,
• Szoftvertelepítések és programhasználat,
• valamint a különböző események közötti időbeli kapcsolatokat.

A vizsgálati terület alapjait részletesebben ismertetjük a Mi a számítógépes kriminalisztika ? című részben.

Mit árul el egy számítógép a múltbeli tevékenységeinkről?

A számítógépes forenzika ereje gyakran nem egyetlen leletben, hanem a különböző technikai nyomok kombinációjában rejlik.

Tipikus példa erre egy USB-tárolóeszköz. Ha megállapítható, hogy egy adott adathordozó csatlakoztatva van egy számítógéphez, akkor kezdetben csak ez a technikai kapcsolat jön létre.

Ez azonban nem bizonyítja, hogy bizalmas fájlokat másoltak az adathordozóra.

Részletesebb értékeléshez további információkra lehet szükség. Ilyenek például a releváns fájltevékenységek, az időinformációk, a fájlrendszerbeli hibák vagy egyéb technikai események.

Ha ezek közül az információk közül több is összeillik, a következtetés jelentősége jelentősen megnőhet.

Törölt fájlok – az adatmentés nem automatikusan forenzikus

A törölt fájlok helyreállítását gyakran azonosítják a számítógépes forenzikával. A valóságban a két terület különböző célokat követ.

A hagyományos adatmentés elsősorban arra összpontosít, hogy az elveszett tartalom helyreállítható-e. A kriminalisztikai vizsgálat ennél továbbmegy, és kivizsgálja a fájl eredetét, technikai kontextusát és minden egyéb olyan tényezőt, amely alátámaszthatja az értékelését.

A helyreállíthatóság jelentősen függ az adott adattároló közegtől.

A mágneses merevlemezek esetében a törölt információk bizonyos körülmények között továbbra is jelen lehetnek. A modern SSD-k ezzel szemben TRIM-et és belső memória-kezelési folyamatokat használnak, ezért a törölt tartalom sokkal gyorsabban válhat helyreállíthatatlanná.

Ha egy törölt fájl bizonyítékként releváns lehet, a szóban forgó számítógépet ezért nem szabad szükségtelenül használni.

IT forenzika magánszemélyek számára Kasselben

A digitális forenzikára nem csak vállalati incidensek esetén van szükség. A nyomozások jelentős része magánjellegű helyzeteket érint, amelyekben okostelefonok, számítógépek vagy felhasználói fiókok játszanak központi szerepet.

Tipikus kérdések a következők:

• Hozzáfér valaki az okostelefonomhoz vagy a számítógépemhez?
• Hozzáférhet-e továbbra is a volt partnerem a személyes adataimhoz?
• Vannak kémprogramokra vagy stalkerware-ekre utaló jelek?
• Az ismeretlen eszközök vagy fiókkapcsolatok relevánsak?
• Még mindig vizsgálhatók a törölt WhatsApp üzenetek?
• Technikailag ellenőrizhető-e a messenger kommunikáció hitelessége?
• Maradnak-e releváns digitális nyomok az adathalászat vagy online csalás után?
• Megbízhatóan védhetők-e a digitális információk jogi eljárásokban való felhasználás céljából?

A diszkréció különösen fontos szerepet játszik a magánügyekben. Ugyanakkor a vizsgálat terjedelmét a ténylegesen felmerülő kérdésre kell korlátozni. Ezért a technikailag rendelkezésre álló adatokat nem kell automatikusan teljes körűen elemezni.

Okostelefon-forenzika – a mobiltelefon, mint digitális adatforrás

Egy modern okostelefon egyetlen eszközben egyesíti a kommunikációt, a felhasználói fiókokat, a fényképeket, a videókat, a messengert, az e-maileket, a böngészőt, az alkalmazásokat és számos egyéb szolgáltatást.

Ennek eredményeként az okostelefonok különösen nagy információsűrűséggel rendelkeznek mind a magán-, mind az üzleti ügyekben.

Okostelefon-szakértői tevékenységünk a technikailag rendelkezésre álló adatokat vizsgálja az adott eszköztől és a feltett kérdéstől függően.

A beszerezhető információk többek között a gyártótól, a modelltől, az operációs rendszertől, a biztonsági szinttől, a titkosítástól és az eszköz állapotától függenek.

A modern okostelefonokat ezért nem lehet ugyanúgy kezelni, mint a hagyományos merevlemezeket. A műszaki adatoktól függően különböző kinyerési módszerek és adatmennyiségek állnak rendelkezésre.

További alapismereteket a Mi az okostelefon-forenzika? című részben ismertetünk.

Feltört mobiltelefon – mikor indokolt a helyszínelés?

Sok érintett személy kezdetben szokatlan tüneteket tapasztal. Az akkumulátor gyorsabban lemerül, az okostelefon felmelegszik, megnő az adatforgalom, vagy ismeretlen bejelentkezések jelennek meg.

Az ilyen megfigyelések vizsgálatra adhatnak alapot, de önmagukban nem bizonyítják a kompromisszumot.

A megnövekedett akkumulátorfogyasztásnak például számos ártalmatlan oka lehet. Hasonlóképpen, egy ismeretlen bejelentkezést először technikai szempontból kell értékelni.

Az eszköztől függően alkalmazások, jogosultságok, felhasználói fiókok, konfigurációk és egyéb technikailag elérhető elemek vizsgálhatók.

Egy szakmai értékelés tehát különbséget tesz egy puszta anomália, egy technikailag magyarázható állapot és egy valóban releváns megállapítás között.

Volt partner megfigyelése – a kémprogramok csak egy lehetőség

Szakítás után gyakran felmerül a gyanú, hogy a volt partner továbbra is láthatja a privát üzeneteket, fényképeket vagy egyéb információkat.

A rejtett megfigyelőszoftverek csak egy a sok elképzelhető forgatókönyv közül.

Egy párkapcsolatban a digitális hozzáférés gyakran tudatosan megosztott. Ismertek a jelszavak, közösen használják a tableteket, családi funkciókat állítanak be, vagy a számítógépek ugyanazokkal a felhasználói fiókokkal vannak összekötve.

Az ilyen kapcsolatok akár szakítás után is fennmaradhatnak.

Egy nyílt végű vizsgálat ezért nemcsak a lehetséges kémprogramokat veszi figyelembe, hanem az ismert hozzáférési adatokat, a jogosult eszközöket, a fiókkapcsolatokat és más technikailag valószínűsíthető hozzáférési módszereket is.

Kémprogramok és stalkerware-ek – a technikai korlátok is szerepelnek a megállapítások között.

Ha felmerül a megfigyelés konkrét gyanúja, az érintett okostelefont nem szabad elhamarkodottan alaphelyzetbe állítani vagy önállóan megtisztítani. Az ilyen változtatások befolyásolhatják a releváns információkat.

A rendelkezésre álló adatoktól függően megvizsgálhatók a feltűnő alkalmazások, engedélyek, konfigurációk és egyéb technikai elemek.

Egy komoly vizsgálat azonban nem ígéri, hogy minden elképzelhető vagy korábban létező kompromittálódást megbízhatóan felderít.

Ha a rendelkezésre álló adatokban semmi szokatlant nem találunk, az kezdetben csak azt jelenti, hogy nem találtunk megfelelő megbízható bizonyítékot ebben az adatbázisban.

Ez azonban nem jelenti automatikusan azt, hogy a hozzáférés nem történhetett volna meg korábban.

WhatsApp és Messenger – a látható chat és a technikai adatok nem ugyanazok

A messenger kommunikáció fontos szerepet játszhat szakításokban, fenyegetésekben, csalási ügyekben, üzleti konfliktusokban és jogi vitákban.

Egy képernyőkép kezdetben egy látható ábrázolást mutat. Az eredeti adatforrás azonban gyakran további technikai információkat is tartalmaz.

A rendelkezésre álló kinyerési lehetőségektől függően üzenetek, időinformációk, résztvevők, médiatartalmak, dokumentumok és egyéb technikai struktúrák vizsgálhatók.

Ez különösen akkor lehet releváns, ha egy kommunikáció kontextusa, teljessége vagy hitelessége megkérdőjelezhető.

További információ a WhatsApp-üzenetek forenzikus elemzése című részben található.

Törölt WhatsApp üzenetek – mi lehet még ott?

Az, hogy a törölt üzenetküldő tartalmak helyreállíthatók vagy más módon rekonstruálhatók-e, nem válaszolható megbízhatóan az adott eszköz ismerete nélkül.

A kulcsfontosságú tényezők közé tartozik az operációs rendszer, az alkalmazás verziója, az adatbázis állapota, a titkosítás, a meglévő biztonsági mentések és a törlés utáni további használat.

További eszközök is relevánsak lehetnek. Például egy okostelefonon lévő kommunikáció már törölve lehet, míg egy másik érintett rendszeren még mindig létezik egy másik adatkészlet.

A helyreállítás általános garanciája ezért felelőtlen lenne.

Okostelefon és számítógép együttes megtekintése

A digitális folyamatok manapság gyakran több eszközön zajlanak.

A messenger alkalmazásokat okostelefonon és számítógépen is használják. A fényképeket más eszközökkel szinkronizálják, míg az e-maileket több rendszeren is elérik. A dokumentumok laptopok, okostelefonok és felhőszolgáltatások között is mozoghatnak.

Egy olyan vizsgálat, amely kizárólag egyetlen eszközre összpontosít, ezért a tények egy lényeges részét figyelmen kívül hagyhatja.

Ha a kutatási kérdés megkívánja, több adatforrás kronológiai és tematikus összehasonlítása is lehetséges. Ez olyan összefüggéseket tárhat fel, amelyek egyetlen eszközön nem lennének láthatóak.

Adattárolási forenzika – merevlemezek, SSD-k és USB-tárolóeszközök vizsgálata

A merevlemezek, SSD-k, USB-kulcsok és memóriakártyák független bizonyítékok lehetnek, vagy egy nagyobb nyomozás részévé válhatnak.

A tárolóközegtől függően megvizsgálhatók a meglévő fájlok, a fájlrendszer-struktúrák, a partíciók, a törölt információk és egyéb műszaki jellemzők.

Továbbá írásvédelmi módszerek alkalmazhatók megfelelő adathordozókon a véletlen írási hozzáférés megakadályozására a biztonsági mentési folyamat során.

A megállapítások későbbi érvényessége azonban nem kizárólag az alkalmazott írásgátló vagy forenzikus szoftvertől függ. A teljes dokumentációs folyamat elengedhetetlen, magától a vizsgálattól az adatmegőrzésen át az elemzésig.

Digitális bizonyítékok megőrzése – az integritás csak egy része a bizonyítékkérdésnek

A digitális adatok könnyen másolhatók és módosíthatók. Ezért nyomon követhető biztonsági mentésük különösen fontos jogi szempontból.

A kriptográfiai hash értékek megfelelő adathalmazokkal használhatók. Ez lehetővé teszi annak matematikai ellenőrzését, hogy egy meghatározott adathalmaz megváltozott-e egy dokumentált időpont óta.

Azonban egy azonos hash érték nem válaszol meg minden bizonyítási kérdést.

Például nem bizonyítja a tartalom igazságtartalmát, sem azt, hogy ki írta valójában az üzenetet, vagy hogy melyik természetes személy használta a felhasználói fiókot egy adott időpontban.

Az integritás, a hitelesség, a származás és a személyes tulajdonítás ezért különböző kérdések, amelyeket külön kell értékelni.

A digitális bizonyítékok integritásáról szóló tudáscikkünk részletesebben elmagyarázza ezt.

IT forenzika Kassel és Észak-Hessen vállalatai számára

Kassel az ipari gyártást a technológiaorientált fejlesztéssel, a mobilitással, az energiával, a logisztikával, az informatikával és a kutatással ötvözi. Ezen ágazatok vállalatai számára a digitális adatok régóta központi szerepet játszanak az értékteremtésben.

A fejlesztési dokumentumokat, tervadatokat, számításokat, projektdokumentációkat, műszaki rajzokat, üzleti titkokat és a belső kommunikációt ezért különféle digitális rendszereken dolgozzák fel.

Jogosulatlan felhasználás vagy adatszivárgás gyanúja esetén annak jelentős gazdasági és jogi következményei lehetnek.

A vizsgálat tipikus okai a következők:

• Feltételezett adatlopás vagy know-how szivárgás,
• szembetűnő fájltevékenység alkalmazottváltás előtt,
• Külső adathordozók használata,
• Üzleti adatok törlése vagy módosítása,
• felhő- vagy átviteli szolgáltatások jogosulatlan használata,
• feltört felhasználói fiókok,
• Kibertámadások és biztonsági incidensek,
• belső vizsgálatok,
• valamint a digitális adatok védelme jogi vagy bírósági eljárások céljából.

Mobilitás és ipari gyártás – különösen fontos Kassel számára

A mobilitás és az ipari gyártás a kasseli gazdasági régió jellegzetes szakterületei közé tartozik. Az ilyen struktúrákban magasan specializált digitális információk keletkeznek, amelyek gazdasági értéke jelentős lehet.

Adatszivárgás gyanúja esetén a munkaállomások, notebookok, külső adattároló eszközök és adott esetben a mobileszközök ugyanazon folyamat különböző részeit dokumentálhatják.

A forenzikus kihívás tehát abban rejlik, hogy sok egyedi incidensből technikailag érthető eseménysorozatot fejlesszünk ki.

Mikor módosították utoljára a releváns fájlt? Mely rendszerek voltak érintettek? Használtak-e külső adathordozót a releváns időszakban? És vannak-e más nyomok, amelyek megfelelnek ennek a folyamatnak?

Csak akkor lehet ezeket az információkat együttesen mérlegelni, ha azok tényleges jelentőségét.

Energia, informatika és kutatás – amikor maga a know-how digitális eszközzé válik

A kutatási és fejlesztési információk különböznek a szokásos üzleti dokumentumoktól. Értékük gyakran éppen abból adódik, hogy még nem tették közzé őket, vagy csak korlátozott kör számára férhetnek hozzá.

A projekt állapota, a műszaki koncepciók, a számítások, a kutatási eredmények, a fejlesztési dokumentumok vagy a forrás- és konfigurációs adatok ezért válhatnak kriminalisztikai vizsgálat tárgyává.

A pontos elhatárolás itt elengedhetetlen. Egy professzionális vizsgálatnak nem kell elemeznie az összes rendelkezésre álló vállalati adatot, hanem azonosítania kell azokat a rendszereket és időszakokat, amelyek valóban relevánsak a konkrét gyanú szempontjából.

Adatlopás alkalmazottak részéről – az USB-meghajtó önmagában keveset bizonyít

Az adatlopás gyanújának klasszikus esete röviddel azelőtt merül fel, hogy egy alkalmazott elhagyná a céget. Külső adattároló eszközt csatlakoztattak, nagy mennyiségű adatot dolgoztak fel, vagy bizalmas fájlok hirtelen elérhetővé váltak a cégen kívül.

Az ilyen körülmények indokolttá tehetik a vizsgálatot, de nem jelentik automatikusan az adatlopás bizonyítékát.

A rendszertől függően a forenzikus elemzés különböző bizonyítékokat kombinálhat. Ezek közé tartoznak a fájlrendszer-információk, USB-eszközökön található tárgyak, felhasználói tevékenységek, böngészési adatok, felhőalapú nyomkövetések és egyéb releváns események.

A nyomozás minőségét pontosan az mutatja, hogy nem vonnak le elhamarkodott következtetéseket egy gyanúból.

Kiberforenzika – mi történt egy biztonsági incidens előtt, alatt és után?

Egy informatikai biztonsági incidens után gyakran szükség van annak rekonstruálására, hogy mely rendszereket érintette az incidens, milyen tevékenységek zajlottak le, és milyen digitális nyomok maradtak fenn.

Ugyanakkor a törvényszéki bizonyítékok gyűjtése nem akadályozhatja meg a károk korlátozásához szükséges intézkedéseket.

A helyes cselekvési irány tehát az adott esettől függ. Egy futó rendszer tartalmazhat olyan illékony információkat, amelyek leállításkor elvesznek. Ezzel szemben egy feltört, de aktív számítógép további kockázatokat jelenthet.

Titkosított rendszerekben a már feloldott állapot biztonsági szempontból is releváns lehet.

Ezért nincs megbízható univerzális szabály arra vonatkozóan, hogy minden érintett eszközt azonnal ki kellene kapcsolni, vagy hogy mindig működőképesen kellene hagyni. A rendszer állapotát, a kockázatot és a vizsgálat célját együttesen kell figyelembe venni.

Forenzikus adatmentés – az eredeti maximális védelme

A biztonsági stratégia a vizsgált konkrét objektumtól függ.

Forenzikus képek hozhatók létre, és írásvédelmi módszerek alkalmazhatók megfelelő hagyományos adathordozókon. A futó vagy titkosított rendszerek azonban eltérő megközelítéseket igényelhetnek.

Az okostelefonoknak viszont megvannak a saját technikai követelményeik. A modern iPhone-ok és Android-eszközök gyakran nem másolhatók szektorról szektorra, mint a hagyományos merevlemezek.

Ahelyett, hogy egyszerűen „1:1 másolatról” beszélnénk, dokumentálni kell, hogy melyik kinyerési módszert használták, és mekkora adatmennyiséget biztosított valójában.

Kriminalisztikai szoftverek – a hatékony eszközök nem helyettesítik a szakértői értékelést

A digitális forenzika speciális szoftvereket igényel. A különböző eszközök, operációs rendszerek és adatstruktúrák azonban különböző eszközöket tesznek szükségessé.

Cellebrite Inseyets

A Cellebrite Inseyets elsősorban mobil digitális adatok gyűjtésére és elemzésére szolgál. A rendelkezésre álló adatok tényleges mennyisége az adott okostelefontól, operációs rendszertől, biztonsági állapottól és a technikailag megvalósítható kinyerési lehetőségektől függ.

Cellebrite digitális gyűjtő

A Cellebrite Digital Collector támogatja a számítógépekhez és digitális adattárolókhoz megfelelő adatgyűjtési módszereket. Az operációs rendszer, a hardver, a titkosítás és a rendszerállapot határozza meg a konkrét eljárást.

Cellebrite Inspector

A Cellebrite Inspector támogatja a számítógépes forenzikus adatkészletek strukturált vizsgálatát, és lehetővé teszi a releváns fájl-, felhasználói és rendszerösszetevők elemzését.

X-Ways Forensics

Az X-Ways Forensics lehetővé teszi az adathordozók, partíciók, fájlrendszerek és más számítógépes forenzikus struktúrák mélyreható vizsgálatát.

MOBILedit Forensic és MEFF 3 Pro

A MOBILedit Forensic és a MEFF 3 Pro kiegészítik a mobil nyomozások eszköztárát, és további elemzési lehetőségeket nyithatnak meg az eszköztől és a feladattól függően.

A használt programok száma azonban nem döntő tényező.

A forenzikus szoftverek adatokat nyernek ki, strukturálnak, korrelálnak és vizualizálnak. Egy adott esetben egy adott tárgy jelentősége azonban továbbra is szakértői értékelést igényel. Ezért egy automatizált szoftverjelentés nem egyenértékű egy szakértői értékeléssel vagy jelentéssel.

A minőség a kutatási módszertannal kezdődik.

Az LB Detektive GmbH a TÜV NORD CERT által a DIN EN ISO 9001:2015 szabvány szerint tanúsított minőségirányítási rendszerrel rendelkezik. A tanúsított hatókör többek között az IT forenzikát is magában foglalja.

Egy strukturált minőségirányítási rendszer biztosítja, hogy a lényeges folyamatok, felelősségi körök és a minőséggel kapcsolatos munkalépések szervezetileg meghatározottak legyenek.

Ezenkívül a DIN EN ISO/IEC 17024 szabvány szerinti személyes tanúsítvánnyal rendelkező szakértői kompetencia is rendelkezésre áll.

A minőségirányítás és a személyes szakértői minősítések eltérő funkciókat töltenek be. Hasonlóképpen, a tanúsítás sem garantálja automatikusan egyetlen feladat eredményét.

A kulcsfontosságú tényezők továbbra is a megfelelő vizsgálati módszer, a professzionális műszaki kivitelezés, az érthető dokumentáció és a megszerzett információk kritikai értékelése.

Három tipikus helyzet az IT forenzikából

A magánjellegű információ egy másik személy számára ismert

Egy szakítás után egy személy felfedezi, hogy egykori partnere olyan tartalmakhoz fér hozzá, amelyeknek már nem szabadna hozzáférniük. Ahelyett, hogy azonnal egy kémalkalmazást feltételeznének a hiba okának, a hozzáférés lehetséges technikai módjait vizsgálják. Az okostelefonok, a felhasználói fiókok és esetleg más megosztott eszközök a helyzet különböző aspektusait magyarázhatják.

Fontos fájlokat töröltek a számítógépről

A jogi eljárásokhoz szükséges dokumentumok már nem hozzáférhetők. Az adatmentés megkezdése előtt felmérik a tárolóközeg típusát, a fájlrendszert, a törlési folyamatot és a későbbi felhasználást. Csak ezután lehet meghatározni, hogy milyen forenzikus lehetőségek maradnak reálisan.

Bizalmas cégadatok szivároghattak ki.

Röviddel azelőtt, hogy egy alkalmazott távozik, szokatlan fájltevékenységet és külső adattároló eszköz használatát figyelik meg. Ahelyett, hogy azonnal arra a következtetésre jutnának, hogy ez adatlopás, a meghatározott időkereten belüli releváns hibákat összefüggésbe hozzák, és felmérik azok tényleges jelentőségét.

Hogyan zajlik egy informatikai kriminalisztikai vizsgálat Kasselben?

1. Határozza meg a tényeket és a vizsgálat célját

Milyen megfigyelést tettek? Milyen technikai kérdésre kell választ adni? Melyik időszak releváns?

2. Releváns adatforrások azonosítása

Eldöntésre kerül, hogy a kérdés megválaszolásához szükség van-e számítógépekre, okostelefonokra, adattároló eszközökre, biztonsági mentésekre vagy más rendszerekre.

3. Értékelje a műszaki állapotot

Az operációs rendszer, a titkosítás, az eszköz állapota, a tárolási technológia és az esetleges adatvesztés befolyásolja a további lépéseket.

4. Gondoskodjon módszeres adatvédelemről

A biztonsági módszert a vizsgálat tárgyához igazítják, és nyomon követhető módon dokumentálják.

5. Elemezze a releváns tárgyakat

Az értékelés azokra az adatokra összpontosít, amelyek hozzájárulhatnak a meghatározott kutatási kérdéshez.

6. A kapcsolatok rekonstruálása

Az időinformációk és a technikai események összehasonlíthatók, ha több adatforrás áll rendelkezésre.

7. Szakmai értékeléssel értékelje az eredményeket

Az egyes találatokat nem vizsgáljuk önmagukban. Ehelyett alternatív technikai magyarázatokat és az eredmények korlátait vesszük figyelembe.

8. Az eredményeket érthető módon dokumentálja

A megbízástól függően a vonatkozó megállapításokat műszaki dokumentumban, vizsgálati jelentésben vagy részletesebb szakértői jelentésben rögzítik.

Mit kell kerülni a törvényszéki vizsgálat előtt?

• Ne állítsa vissza elhamarkodottan az érintett okostelefonokat a gyári beállításokra.
• Ne próbálja meg saját kezűleg eltávolítani a gyanús kémprogramokat.
• Ne telepítsen ismeretlen tisztító- vagy elemzőprogramokat.
• WhatsApp Ne telepítse újra feleslegesen a törölt üzeneteket.
• Ne írja felül a meglévő biztonsági mentéseket.
• Minimalizálja a fontos törölt adatokat tartalmazó számítógépek további használatát.
• Ne módosítsa szükségtelenül az eredeti adathordozót.
• Ne indítsa újra a kikapcsolt vizsgáló számítógépet kizárólag az ellenőrzés céljából.
• Ne állítson le reflexből egy futó, titkosított számítógépet releváns incidens esetén.
• Dokumentálja a hibaüzeneteket, anomáliákat és a vonatkozó időbélyegeket.

IT forenzika Kasselben és Észak-Hessen régióban

IT forenzikus szolgáltatásaink Kasselben és az észak-hesseni gazdasági régióban elérhetőek ügyfeleink számára. Ide tartoznak többek között Baunatal, Vellmar, Lohfelden, Niestetal, Kaufungen, Fuldatal, Hofgeismar, Wolfhagen, Melsungen, Fritzlar és a régió más helyszínei.

Göttingeni, Korbach-i, Bad Wildungen-i és a környező régiók ügyfelei is megbízhatnak ilyen vizsgálatokat. Ezenkívül az összetett vállalati és szakértői ügyek országos koordinációjára is lehetőség van.

Ez lehetővé teszi mind az érzékeny magánnyomozások, mind a több eszközt, adathordozót vagy vállalati rendszert érintő összetett esetek feldolgozását.

Gyakran ismételt kérdések az IT forenzikával kapcsolatban Kasselben

Mit vizsgál az IT forenzika?

Az IT forenzika digitális adatokat és technikai nyomokat vizsgál számítógépeken, okostelefonokon, adathordozókon és más releváns rendszereken. A cél a digitális folyamatok technikailag lehetséges legnagyobb mértékű rekonstruálása, a releváns információk biztosítása és jelentőségének professzionális felmérése.

Milyen eszközöket lehet vizsgálni?

A feladattól függően olyan eszközök vizsgálhatók, mint a Windows PC-k, notebookok, Mac-ek, okostelefonok, merevlemezek, SSD-k, USB-tárolóeszközök és memóriakártyák.

Meg lehet állapítani, hogy feltörték-e a számítógépemet?

A rendszer állapotától és a rendelkezésre álló adatoktól függően kivizsgálhatók a szokatlan tevékenységek, programok, felhasználói tevékenységek és egyéb releváns problémák jelei. Azonban nem minden korábbi támadás lesz feltétlenül teljes mértékben észlelhető utólag.

Megvizsgálható egy okostelefon megfigyelés céljából?

Igen. Az eszköztől és az elérhető adatbázistól függően az alkalmazások, jogosultságok, fiókkapcsolatok és egyéb technikai anomáliák kivizsgálhatók.

Minden kémprogram észlelhető?

Nem. Technikailag felelőtlen lenne garantálni minden elképzelhető vagy korábban létező kompromittálódás észlelését. A megbízhatóság és a korlátok az adott eszköztől és a rendelkezésre álló adatoktól függenek.

Visszaállíthatók a törölt fájlok?

Ez bizonyos feltételek mellett lehetséges. Az adathordozó típusa, a fájlrendszer, a törlési folyamat, a felülírás és a későbbi felhasználás jelentősen befolyásolja a helyreállíthatóságot.

Megvizsgálhatók a törölt WhatsApp üzenetek?

Az okostelefontól, az adatbázis állapotától, a biztonsági mentésektől és a további használattól függően előfordulhat, hogy releváns információk vagy hibák továbbra is jelen vannak. Általános helyreállítási garancia nem biztosított.

Meg lehet állapítani, hogy csatlakoztatva van-e USB meghajtó?

Megfelelő rendszereken elérhetők lehetnek a csatlakoztatott USB-eszközökkel kapcsolatos technikai információk. A kapcsolat önmagában azonban nem bizonyítja, hogy bizonyos fájlok átvitele folyamatban van.

Bizonyítható-e az alkalmazottak általi adatlopás?

A rendelkezésre álló adatoktól függően a fájlaktivitás, a külső tárolóeszközök, a felhasználói aktivitás és egyéb nyomok összefüggésbe hozhatók. Az, hogy ez meggyőző bizonyítékot eredményez-e, az adott esettől függ.

Lehetséges-e számítógépeket és okostelefonokat együtt vizsgálni?

Igen. Eszközök közötti kommunikáció, felhőalapú szinkronizálás, fiókhozzáférés vagy más kapcsolódó folyamatok esetén hasznos lehet több adatforrás együttes figyelembevétele.

A hash értékek bizonyítják-e egy fájl hitelességét?

Egy hash érték segítségével ellenőrizhető egy meghatározott adathalmaz integritása. Azonban nem bizonyítja automatikusan a fájl tartalmának, eredetének vagy szerzőségének valódiságát.

Egy forenzikus szoftver jelentése már szakértői véleménynek számít?

Nem. A szoftver technikai adatokat szolgáltat és strukturál. Egy szakértői értékeléshez ezen felül meghatározott kérdésre, technikai áttekintésre, érthető módszertanra és indokolt értelmezésre van szükség.

Mennyibe kerül egy informatikai kriminalisztikai vizsgálat Kasselben?

A szükséges erőfeszítés a kutatási kérdéstől, az eszközök típusától, az adatforrások számától, a technikai hozzáférhetőségtől, az adatok mennyiségétől és a kívánt dokumentációtól függ. Ezért összetettebb esetekben először azt határozzák meg, hogy mely vizsgálatok szükségesek valójában a kutatási kérdés megválaszolásához.

Biztosítsa a digitális nyomokat, mielőtt megváltoznának

Digitális incidensek esetén nemcsak az a döntő, hogy milyen adatok állnak rendelkezésre, hanem az is, hogy milyen állapotban készülnek biztonsági mentések.

A további használat, az újratelepítés, az alaphelyzetbe állítás vagy a független tisztítási intézkedések megváltoztathatják az adatokat és megnehezíthetik a későbbi rekonstrukciót. Ugyanakkor a folyamatban lévő kiberbiztonsági incidensek azonnali kárelhárítási intézkedéseket igényelhetnek.

Ezért az eljárást nem egy általános ellenőrzőlistán kell alapulni, hanem az adott eszköz és körülmények alapján kell eldönteni.

A kezdeti értékeléshez különösen fontosak az érintett eszközök, a megfigyelt rendellenességek, a vonatkozó időszak és a már végrehajtott változtatások. Ebből megállapítható, hogy melyik biztonsági és vizsgálati módszer a szakmailag megfelelő az adott esetben.

További részletes információkat a számítógépes forenzikáról, az okostelefon-forenzikáról, a digitális bizonyítékokról és a nyomozati módszerekről tudásbázisunkban talál.