Egy okostelefon hirtelen szokatlanul viselkedik, privát információk válnak ismertté egy másik személy számára, vagy fontos üzenetek törlődnek. A vállalatoknál ezzel szemben a feltűnő fájltevékenység, a gyanús felhasználói fiókok, vagy a kutatási és üzleti adatok esetleges kiszivárgása technikai vizsgálat alapjául szolgálhat.

Würzburgi ügyfeleink számára okostelefonokat, számítógépeket, adattároló eszközöket és egyéb digitális bizonyítékokat vizsgálunk azzal a céllal, hogy elkülönítsük a technikai tényeket a feltételezésektől. Különösen magánügyekben a cél gyakran nem a lehető legtöbb adat kinyerése, hanem egy konkrét kérdés megválaszolása: Van-e bizonyíték jogosulatlan hozzáférésre? Vannak-e még digitális kapcsolatok egy korábbi partnerrel? A törölt kommunikációs adatok továbbra is technikailag relevánsak? Milyen információk védhetők megbízhatóan?

Würzburg egyedülálló tudományos és gazdasági kontextussal rendelkezik. A város egyes részeit a kutatás és fejlesztés, az élettudományok, az orvostechnológia, a számítástechnika, valamint az anyag- és felületkezelési technológiák jellemzik. Ennek eredményeként a hagyományos vállalati adatok mellett a kutatási eredmények, a műszaki dokumentációk és a digitális know-how is forenzikus vizsgálat tárgyát képezhetik.

IT forenzika Würzburgban – mit lehet technikailag tisztázni?

A digitális forenzika egy ellenőrizhető kérdéssel kezdődik. Egy ismeretlen bejelentkezés nem bizonyítja, hogy ki férhetett hozzá valójában egy fiókhoz. Egy csatlakoztatott USB-meghajtó nem jelent automatikus bizonyítékot az adatlopásra. És egy okostelefon szokatlan akkumulátor-merülése sem bizonyítja a kémprogramok jelenlétét.

Ezért a releváns műtermékeket kontextusban értékelik. A körülményektől függően összehasonlíthatók a rendszerinformációk, alkalmazások, felhasználói fiókok, időbélyegek, fájlrendszeradatok, üzenetküldő műtermékek, csatlakoztatott tárolóeszközök vagy egyéb technikai információk.

Egy megbízható tanulmánynak nyíltan meg kell határoznia azt is, hogy mi az, amit a rendelkezésre álló adatok alapján nem lehet megbízhatóan meghatározni.

Mobiltelefon-szakértés magánszemélyek számára Würzburgban

Az okostelefonok ma már a személyes kommunikáció és a digitális identitás jelentős részét tartalmazzák. A WhatsApp és más üzenetküldő alkalmazások, fényképek, e-mailek, névjegyek, felhasználói fiókok, felhőszolgáltatások és alkalmazásadatok releváns bizonyítékokat tartalmazhatnak személyes konfliktusok vagy biztonsági incidensek esetén.

A magánügyfelek tipikus kérdései a következők:

• Hozzáfér-e valaki más az okostelefonomhoz?
• Vannak-e jelek technikai manipulációra vagy kémprogramokra?
• Ismeretlen eszközök vannak csatlakoztatva a fiókjaimhoz?
• Hozzáférhet-e továbbra is a személyes adataimhoz a volt partnerem?
• Megvizsgálhatók a törölt WhatsApp üzenetek?
• Visszaállíthatók még a törölt fotók vagy más fájlok?
• Hogyan lehet digitális bizonyítékokat biztosítani egy jogvitában?

Az, hogy technikailag mely adatokhoz lehet hozzáférni, olyan tényezőktől függ, mint az eszköz modellje, az operációs rendszer, a titkosítás, a biztonsági állapot és az elérhető kinyerési módszerek. A „ Mi az okostelefon-forenzika?” című cikkünk elmagyarázza az alapokat.

Feltört vagy megfigyelt telefon – nem minden gyanú jelent kémprogramot

Sok áldozat kezdetben rejtett megfigyelőalkalmazásra gyanakszik. Azonban sokkal egyszerűbb hozzáférési módszerek is relevánsak lehetnek.

Az ismert jelszavak, a még mindig engedélyezett táblagépek vagy számítógépek, az összekapcsolt üzenetküldő eszközök, a közösen beállított Apple- vagy Google-fiókok, valamint a felhőalapú szinkronizálások miatt az információk továbbra is hozzáférhetők maradhatnak.

Ezért a vizsgálat nem korlátozódhat konkrét kártevők keresésére. Az eszköztől függően alkalmazások, engedélyek, felhasználói fiókok, rendszerösszetevők és egyéb technikai információk is vizsgálhatók.

Digitális hozzáférés válás vagy párkapcsolati konfliktus után

Különösen egy szakítás után válhatnak problémássá a korábban megosztott digitális struktúrák. Egy korábbi partner ismerheti a bejelentkezési adatokat, egy régi eszköz még mindig jogosult lehet, vagy egy megosztott fiók szinkronizálhatja az adatokat.

Ezért az első lépés annak tisztázása, hogy mely digitális hozzáférési módok reálisak. Csak ezután lehet dönteni arról, hogy csak az okostelefont, vagy a fiókokat és más eszközöket is be kell-e vonni a vizsgálatba.

Ez a megközelítés segít elkerülni a személyes adatok szükségtelen értékelését is.

WhatsApp üzenetek technikai elemzése

A WhatsAppon keresztüli kommunikáció releváns lehet szakítások, fenyegetések, csalások, magánéleti viták vagy jogi csatározások esetén.

A forenzikus elemzés nem korlátozódik a látható csevegési szövegre. A rendelkezésre álló adatoktól függően üzenetek, időbélyegek, résztvevői információk, médiatartalmak, dokumentumok, csoportinformációk és egyéb technikai elemek is vizsgálhatók.

Egy képernyőképnek más a technikai jelentősége, mint egy ellenőrizhetően biztonságos eredeti adatforrásnak. Alaposabb kiértékeléshez ezért általában informatívabb az eredeti okostelefon vagy egy megfelelő biztonsági mentés.

További részletek a „WhatsApp üzenetek forenzikus elemzése” című tudáscikkünkben találhatók.

Törölt WhatsApp üzenetek – mi lehet még ott?

A törölt kommunikáció nem veszít automatikusan el teljesen. Azonban az sem garantálható megbízhatóan, hogy minden törölt üzenet helyreállítható.

A kulcsfontosságú tényezők közé tartozik az eszköz, az operációs rendszer, a WhatsApp verziója, az adatbázis állapota, a meglévő biztonsági mentések és a törlés utáni további használat. Egy régebbi biztonsági mentés akkor is releváns lehet, ha olyan üzeneteket tartalmazott, amelyek hiányoznak a jelenlegi adatokból.

Ezért, ha fontos információkat töröltek, a WhatsAppot nem szabad idő előtt újratelepíteni, és ha lehetséges, az okostelefont sem szabad alaphelyzetbe állítani.

Törölt fényképek, videók és dokumentumok

Más személyes adatok is vizsgálat tárgyát képezhetik. A modern okostelefonok azonban titkosított flash memóriát és összetett tárolási mechanizmusokat használnak.

Ez jelentősen eltér a hagyományos merevlemezek lehetőségeitől. Ezért magán az eszközön kívül a meglévő biztonsági mentések, a felhőalapú szinkronizációk vagy más csatlakoztatott rendszerek is fontosak lehetnek.

iPhone és Android forenzika

Az iPhone és az Android okostelefonok eltérő technikai megközelítést igényelnek. Az Apple eszközök esetében különösen a modell, az iOS verziója, az eszköz állapota és a biztonsági konfiguráció befolyásolja a vizsgálati lehetőségeket.

Az Android esetében jelentős különbségek vannak a gyártók, a chipsetek, az operációs rendszer verziói és a javítási szintek között. Ezért a biztonsági mentés és a kicsomagolás módszerét minden eszköz esetében külön határozzák meg.

Részletesebb információkért lásd az iPhone forenzikus elemzését és az Android forenzikus elemzését.

Számítógépes forenzika – digitális tevékenységek kronológiai rekonstrukciója

Egy számítógép számos olyan nyomot tartalmazhat, amelyek normál használat során nem láthatók azonnal. Az operációs rendszertől függően a fájlrendszer-információk, a felhasználói tevékenység, a böngészési adatok, a csatlakoztatott eszközök és egyéb rendszerösszetevők lehetnek relevánsak.

Az időzítés gyakran különösen fontos. Mikor nyitottak meg vagy módosítottak egy fájlt? Milyen más események történtek ugyanebben az időszakban? Csatlakoztatott-e külső tárolóeszközt? Milyen egyéb nyomok kapcsolódnak ehhez a folyamathoz?

A „Mi a számítógépes forenzika?” című tudáscikkünk részletesebben elmagyarázza ezt.

Adathalászat, smishing és digitális csalás

Miután csalárd szöveges üzenetet, e-mailt kapunk, vagy meglátogatunk egy weboldalt, gyakran felmerül az aggodalom, hogy az egész okostelefon vagy számítógép veszélybe került.

Technikai értékeléshez először rekonstruálni kell az események tényleges sorrendjét: Melyik üzenet érkezett? Melyik linket nyitották meg? Megadták a bejelentkezési adatokat? Letöltöttek egy fájlt? Milyen szokatlan események történtek ezt követően?

A körülményektől függően az SMS-üzenetek, e-mailek, böngészőadatok, letöltések és egyéb technikai nyomok relevánsak lehetnek az incidens dokumentálása szempontjából.

Digitális bizonyítékok ügyvédek és bírósági eljárások számára

Bárkinek, aki később jogvitában kíván digitális információkat felhasználni, nem csak a látható tartalomra kell figyelnie. A forrás, a tárolási mód és a technikai besorolás ugyanilyen fontos lehet.

Megfelelő adathalmazok esetén kriptográfiai hash-értékek használhatók azok folyamatos integritásának ellenőrzésére. A hash-érték azonban nem bizonyítja sem a tartalom igazságtartalmát, sem azt, hogy melyik személy hajtott végre egy adott műveletet.

A digitális bizonyítékok integritásáról szóló tudáscikkünk ismerteti a korlátokat és a lehetőségeket.

Würzburg, mint kutatási, orvosi és technológiai helyszín

Würzburg egyedülálló módon ötvözi az egyetemet, a kutatást, az orvostudományt, az élettudományokat és a technológiaorientált ipart. A kutatási prioritások közé tartozik a kísérleti biomedicina, az orvostechnológia, az anyagtudomány, a szerkezeti és felületi technológiák, valamint a számítástechnika és az üzleti informatika.

Ez konkrét kérdéseket vet fel a digitális forenzika számára. A kutatási adatok, a tesztbeállítások, a műszaki dokumentáció, a projektinformációk, a személyes adatok és a szellemi tulajdon jelentős tudományos és gazdasági értékkel bírhatnak.

Az ilyen adatokat gyakran nem csak egyetlen számítógépen tárolják. Munkaállomások, laptopok, mobileszközök, adathordozók és más adatforrások dokumentálhatják egy folyamat különböző részeit.

Kutatási és fejlesztési adatok kriminalisztikai vizsgálata

A kutatás és fejlesztés során az adatok gyakran hosszabb időszakok alatt keletkeznek. A fájlokat verziózzák, módosítják, cserélik a munkaállomások között, és különböző rendszereken dolgozzák fel.

Adatvédelmi incidens gyanúja esetén tehát nem egy adott fájl puszta jelenléte az egyetlen releváns tényező. A fájlrendszer-információk, az időbélyegek, a felhasználói aktivitás és a külső adathordozók is fontosak lehetnek a rekonstrukcióhoz.

Egy műszaki megállapítást azonban nem szabad automatikusan erősebben értelmezni, mint ahogy azt az adatok lehetővé teszik. Például az a tény, hogy egy fájlt megnyitottak, nem bizonyítja, hogy azt harmadik féllel megosztották.

IT forenzika vállalatok és intézmények számára Würzburgban

Tipikus üzleti kérdések lehetnek többek között:

• Bizalmas üzleti vagy projektadatokat másoltak?
• Milyen külső adathordozókat használtak?
• Voltak-e szokatlan fájlokban végzett tevékenységek a munkáltatóváltás előtt?
• Használtak már jogosulatlanul egy felhasználói fiókot?
• Kiszivároghattak kutatási vagy fejlesztési információk?
• Mely rendszereket érintette egy kiberbiztonsági incidens?

A vizsgálat hatókörét a lehető legszorosabban kell a konkrét kutatási kérdéshez igazítani. Különösen a kutatási, egészségügyi vagy személyzeti adatok esetében a célzott vizsgálat rendszeresen hasznosabb, mint a nagy adathalmazok differenciálatlan elemzése.

Adatlopás felmondás vagy alkalmazottváltás során

A munkaviszony megszüntetésével, felfüggesztésével vagy versenytárshoz való áthelyezéssel kapcsolatos folyamatok különösen érzékenyek lehetnek. Ha szokatlan fájltevékenységre utaló konkrét jelek vannak, időben tisztázni kell, hogy mely rendszereket kell potenciális bizonyítékként megőrizni.

A munkahelyi számítógépek, céges mobiltelefonok, notebookok, külső adattároló eszközök és egyéb adatforrások különféle technikai nyomokat tartalmazhatnak.

Az USB-kulcs csatlakoztatására vonatkozó bizonyíték csak egy része a megállapításnak. Azt, hogy a konkrét fájlokat valóban átvitték-e, további leletek alapján kell értékelni.

Kiberbiztonsági incidensek – a látható következmények helyett a technikai okokat vizsgáljuk

Egy kiberbiztonsági incidens gyakran gyors reagálást igényel. Ugyanakkor a meglévő rendszerállapotok és naplók kulcsfontosságú nyomokat adhatnak a történtekről.

Egy elhamarkodott újratelepítés megváltoztathatja a bizonyítékokat. Ezzel szemben egy feltört rendszert nem szabad szükségtelenül, kizárólag törvényszéki okokból működtetni.

Ezért a veszélyek megelőzését és a bizonyítékok megőrzését a helyzettől függően kell összehangolni.

Kriminalisztikai adatmentés – a minőséget az elemzés előtt határozzák meg.

A nagy teljesítményű elemzőszoftverek nem tudják teljes mértékben kompenzálni a későbbi nem megfelelő adatmentést. Ezért az első lépés annak meghatározása, hogy a vizsgálat tárgyát képező objektumról hogyan lehet hatékonyan biztonsági mentést készíteni.

Az okostelefonoknak, az SSD-knek, a hagyományos adathordozóknak és a modern számítógépeknek eltérő technikai követelményeik vannak. Nem minden típusú biztonsági mentés lehetséges vagy ajánlott minden eszközön.

További alapvető információkat a „Forensic Data Backup” című tudáscikkünkben talál.

Forenzikus szoftverünk – különböző eszközök különböző adatforrásokhoz

Több speciális rendszert használunk okostelefonok, számítógépek és adattárolók vizsgálatára. Az eszközök kiválasztása az eszköztől, az operációs rendszertől és a vizsgált konkrét kérdéstől függ.

Cellebrite Inseyets

A Cellebrite Inseyets különösen támogatja a mobil adatok strukturált elemzését. Az okostelefontól és a rendelkezésre álló kinyerési képességektől függően a releváns műtermékek célzottan vizsgálhatók és összefüggésbe hozhatók.

Cellebrite digitális gyűjtő

A Digital Collector megfelelő számítógépes és adathordozó-beszerzésekhez használható. A megközelítés többek között a hardvertől, az operációs rendszertől, a titkosítástól és a vizsgálat céljától függ.

Cellebrite Inspector

Az Inspector lehetővé teszi a számítógépes forenzikus adatkészletek további elemzését, és támogatja a releváns elemek strukturált értékelését nagy adatkészletekben.

X-Ways Forensics

Az X-Ways Forensics szoftvert fájlrendszerek, adathordozók, partíciók és egyéb számítógépes forenzikus struktúrák részletes vizsgálatára használják.

MOBILedit Forensic és MEFF 3 Pro

A MOBILedit Forensic és a MEFF 3 Pro kiegészítik a mobil forenzikát, és az eszköztől függően további technikai elemzési módszereket tesznek lehetővé.

A programok száma nem döntő tényező. A szoftverek kinyerik és strukturálják az adatokat. Csak a szakértői értékelés határozza meg egy adott kutatási kérdés szempontjából egy adott műtermék tényleges jelentőségét.

Tanúsított folyamatok és szakértői értékelés

Az LB Detektive GmbH a TÜV NORD által tanúsított, DIN EN ISO 9001 szabvány szerinti minőségirányítási rendszerrel rendelkezik, amelynek hatálya kiterjed az IT forenzikára is . Ezenkívül a szakértő DIN EN ISO/IEC 17024 szabvány szerinti tanúsítvánnyal is rendelkezik.

A két szintet meg kell különböztetni. A DIN EN ISO 9001 szabvány meghatározott szervezeti minőségügyi folyamatokra vonatkozik; a DIN EN ISO/IEC 17024 szabvány szerinti tanúsítás a tanúsított személy bizonyított kompetenciájára vonatkozik.

Az ügyfelek számára különösen fontosak az átlátható folyamatok, a bizonyítékok ellenőrzött kezelése és a technikailag érthető dokumentáció.

Három tipikus vizsgahelyzet Würzburgban

Privát: Szakítás után is hozzáférsz?

Úgy tűnik, egy másik személy továbbra is hozzáfér a személyes adatokhoz. Ahelyett, hogy azonnal kémprogramot feltételeznének, a lehetséges hozzáférési pontokat okostelefonokra, felhasználói fiókokra, felhőkapcsolatokra és csatlakoztatott eszközökre szűkítik le.

Privát: A törölt kommunikáció jogilag relevánssá válik

Egy fontos hírvivő története már nem teljesen látható. Először is megvizsgáljuk, hogy mely adatforrások állnak még rendelkezésre, és milyen technikai kinyerési módszerek megvalósíthatók. Csak ezután tudjuk megbízhatóan felmérni a rekonstrukció kilátásait.

Kutatási vagy üzleti környezet: Bizalmas adatok szivároghattak ki.

Egy meghatározott időkereten belül szokatlan fájltevékenységet észlelnek. Ahelyett, hogy azonnal arra a következtetésre jutnának, hogy ez adatvédelmi incidensre utal, a releváns rendszereket, felhasználói tevékenységeket és külső tárolóeszközöket kontextusban vizsgálják.

Hogyan zajlik egy informatikai kriminalisztikai vizsgálat?

1. Határozza meg a kutatási kérdést

Kezdetben meghatározzák, hogy melyik digitális folyamatot kell valójában tisztázni.

2. Adatforrások kiválasztása

Csak azok az eszközök, adathordozók vagy fiókok lesznek benne, amelyek közvetlenül kapcsolódnak a kérdéses kérdéshez.

3. Gondoskodjon az adatok megfelelő védelméről

A biztonsági mentési módszer az eszközhöz, az operációs rendszerhez, a titkosításhoz és a műszaki állapothoz igazodik.

4. Digitális nyomok elemzése

A releváns műtermékeket technikailag és kronológiailag osztályozzák, és szükség esetén összehasonlítják más adatforrásokkal.

5. Eredmények dokumentálása

A megbízástól függően a megállapításokat vizsgálati jelentésben vagy szakértői dokumentációban lehet összefoglalni.

Mit kell kerülni vizsgálat előtt?

• Ne sietve állítsa alaphelyzetbe a potenciálisan veszélyeztetett okostelefonját.
• Ne távolítsa el saját kezűleg a gyanús alkalmazásokat.
• Ne telepítse újra a WhatsAppot, ha a vonatkozó adatokat törölték.
• Ne telepítsen ismeretlen kémprogramokat vagy tisztítóprogramokat.
• Ne írja felül a meglévő biztonsági mentéseket gondos mérlegelés nélkül.
• Ne végezzen szükségtelenül módosításokat a számítógépeken vagy adattároló eszközökön, ha konkrét gyanú merül fel az adatszivárgásra.

IT forenzika Würzburgban és Mainfrankenben

Működési területünk Würzburg, Schweinfurt, Kitzingen, Ochsenfurt, Karlstadt, Marktheidenfeld, Bad Kissingen, Lohr am Main, Wertheim, Tauberbischofsheim, Bamberg és más Mainfranken és Unterfranken városok és települések.

Würzburg elhelyezkedése miatt, amely Main-Frankföld és a frank gazdasági régiók között helyezkedik el, szoros kapcsolatokat ápol Nürnberggel is . A régió ügyfeleinek lehetősége van egyéni okostelefonjaik és számítógépeik vizsgálatára, valamint összetettebb, több digitális bizonyítékot tartalmazó ügyekben is eljárni.

Gyakran ismételt kérdések az IT forenzikával kapcsolatban Würzburgban

Magánszemélyként megvizsgáltathatom az okostelefonomat?

Igen. A gyakori személyes megkeresések jogosulatlan hozzáférésre, kémprogram-gyanús információkra, törölt üzenetekre, felhasználói fiókokra vagy személyes és jogi vitákhoz kapcsolódó digitális bizonyítékokra vonatkoznak.

Meg lehet állapítani, hogy hozzáfér-e valaki a telefonomhoz?

A lehetséges hozzáférési útvonalak meglévő technikai nyomai megvizsgálhatók. Az, hogy egy adott hozzáférés bizonyítható-e, az eszköztől, a lehetséges hozzáférési útvonaltól és a még rendelkezésre álló adatoktól függ.

Hozzáférhet-e a volt partnerem az adataimhoz kémprogramok nélkül?

Igen. Ismert bejelentkezési adatok, még jogosult eszközök, felhőfiókok vagy meglévő szinkronizációs kapcsolatok alternatív hozzáférési módokat biztosíthatnak.

Megvizsgálhatók a törölt WhatsApp üzenetek?

Bizonyos körülmények között adatok vagy technikai hibák továbbra is előfordulhatnak. A teljes helyreállítás azonban nem garantálható.

Kriminalisztikailag vizsgálhatók-e a kutatási vagy fejlesztési adatok?

Igen. A pontos kérdés kulcsfontosságú ahhoz, hogy a releváns rendszereket és adatforrásokat konkrétan megvizsgálhassuk.

Bizonyítható, hogy USB-kulcsot használtak?

Bizonyos körülmények között a számítógépes rendszerek tartalmazhatnak csatlakoztatott USB-eszközök nyomait. A csatlakozás bizonyítéka azonban nem feltétlenül bizonyítja az adott fájlok átvitelét.

Visszamenőlegesen elemezhetők a kibertámadások?

Ez akkor lehetséges, ha megfelelő végberendezések, fiókadatok, naplók vagy más releváns adatforrások továbbra is rendelkezésre állnak.

Egy szoftverjelentés már szakértői véleménynek számít?

Nem. Egy szoftverjelentés kinyert vagy strukturált adatokat mutat be. Egy szakértői értékeléshez ezen felül meghatározott kérdésre, technikai értelmezésre és az eredmények érthető levezetésére van szükség.

Milyen eszközöket lehet vizsgálni?

A kérdéstől függően okostelefonok, Windows PC-k, Mac-ek, notebookok, merevlemezek, SSD-k, USB-tárolóeszközök és más digitális rendszerek is relevánsak lehetnek.

Mennyibe kerül egy informatikai kriminalisztikai vizsgálat Würzburgban?

A szükséges erőfeszítés a kutatási kérdéstől, az eszközök számától, az adatok mennyiségétől, a technikai hozzáférhetőségtől és a kívánt dokumentációtól függ. Ezért összetettebb esetekben először a vizsgálat tényleges terjedelmét határozzák meg.

Igényeljen bizalmas IT forenzikai szolgáltatásokat Würzburgban

A kezdeti értékeléshez különösen fontos az érintett eszköz vagy rendszer, a konkrét rendellenesség, a vonatkozó időszak és a már elvégzett változtatások. Ez az információ segít meghatározni a vizsgálat megfelelő hatókörét.

További érthető magyarázatokat az okostelefonokkal, messengerekkel és számítógépes forenzikával , valamint a digitális bizonyítékok megőrzésével kapcsolatban tudásbázisunkban talál.