A digitális forenzika egyre inkább meghatározza, hogy egy gyanú ellenőrizhető műszaki megállapítássá válik-e. A nagy teljesítményű szoftverek, a modern kinyerő rendszerek és a nagy adathalmazok azonban nem elegendőek. A kulcsfontosságú tényezők közé tartozik az adatmentés minősége, az átlátható vizsgálati módszertan, a szakértői értékelés és a dokumentáció, amely egyértelműen bemutatja, hogyan jutottak el az eredményhez.
Az LB Csoporton belül az LB Forensics az IT forenzika , a mobil forenzika, valamint a digitális rendszerek és adathordozók műszaki vizsgálatának speciális területeit képviseli. Az LB Csoport az LB Detektive GmbH márkája. Ez lehetővé teszi a digitális forenzika, a hagyományos nyomozások, a szakértői szolgáltatások és a műszaki kémelhárítás interdiszciplináris integrációját összetett esetekben , amikor az adott feladathoz szükséges.
A digitális bizonyítékok mindenhol jelen vannak – de helyes értelmezésük kihívást jelent.
Egy okostelefon üzeneteket, fényképeket, videókat, névjegyeket, alkalmazásadatokat, használati információkat és számos egyéb digitális tárgyat tartalmazhat. Egy számítógép nyomokat adhat a felhasználói tevékenységről, a csatlakoztatott adathordozókról, fájlokról, programokról, az internethasználatról és a rendszerfolyamatokról. A szerverek, hálózatok és felhőalapú környezetek további adatokat generálnak, amelyek relevánsak lehetnek egy incidens rekonstruálásában.
A modern nyomozati munka már régóta olyan valósággá vált, ahol szinte minden összetett ügynek lehet digitális összetevője.
Egy cég bizalmas tervezési adatok kiszivárgására gyanakszik. Egy alkalmazotti fiók szokatlan tevékenységet mutat. Fájlok tűnnek el, miután egy alkalmazott elhagyja a céget. Egy okostelefon érzékeny kommunikációt tartalmazhat. Egy ügyvédi irodának bizonyos folyamatok technikai rekonstrukciójára van szüksége. Egy kibertámadás után meg kell határozni, hogy mely rendszereket érintette a támadás, és milyen nyomok találhatók még meg.
Ilyen helyzetekben nem elég egyszerűen annyi információt kinyerni egy eszközből, amennyit csak lehet.
A lényegi kérdések inkább a következők:
- Mely adatok relevánsak az adott helyzetben?
- Technikailag honnan származnak ezek az adatok?
- Hogyan biztosították őket?
- Változtak-e a vizsgált adatok a biztonsági mentés vagy az elemzés során?
- Milyen technikai kapcsolatok hozhatók létre valójában?
- Milyen alternatív magyarázatok léteznek?
- Milyen következtetéseket lehet levonni egy digitális képalkotásból?
- Melyik állítást nem támasztják alá a rendelkezésre álló adatok?
A meglévő adatok és a technikailag megalapozott értékelések szétválasztása a professzionális IT forenzika egyik kulcsfontosságú jellemzője.
Az adatkinyerés még nem digitális forenzika.
A modern forenzikus rendszerek hatalmas mennyiségű adatot képesek feldolgozni számítógépekből, okostelefonokból és más digitális rendszerekből. Az üzenetek kategorizálhatók, fájlok kereshetők, idővonalak hozhatók létre, és automatikusan megjeleníthetők a technikai leletek.
Ez értékes. Azonban nem szabad összekeverni egy befejezett igazságügyi szakértői vizsgálattal.
A technikai kinyerés először azt a kérdést válaszolja meg, hogy mely adatokat lehet megszerezni vagy ábrázolni egy adott módszerrel.
Folytatni kell a törvényszéki vizsgálatot.
Tisztáznia kell az egyes információk jelentőségét a konkrét kutatási kérdéssel összefüggésben.
Ez például akkor releváns, amikor azt kell megállapítani, hogy:
- bizalmas fájlokat másoltak vagy továbbítottak,
- egy külső tárolóeszközt csatlakoztattak egy adott számítógéphez,
- bizonyos felhasználói tevékenységek technikailag nyomon követhetők,
- A kommunikációs adatok konkrét kronológiai sorrendet tárnak fel,
- A fájlok megváltoztak vagy törölve lettek
- bizonyos alkalmazásokat használtak
- Felhőalapú vagy szinkronizációs folyamatok zajlottak le,
- egy rendszer esetleg feltört, vagy
- több digitális nyomkövetés tartozik egy közös eseményhez.
Világosan meghatározott kutatási kérdés nélkül fennáll a veszélye annak, hogy egyszerűen hatalmas mennyiségű adat keletkezik.
A professzionális digitális forenzika tehát nem azt jelenti, hogy mindent kinyerünk, ami technikailag hozzáférhető. Ez egy adott esethez kapcsolódó digitális információk módszeres biztosítását, értékelését, osztályozását és átlátható dokumentálását jelenti.
A kriminalisztikai bizonyítékok gyűjtése a tényleges elemzés előtt megkezdődik.
A digitális elemzés minőségét gyakran az határozza meg, hogyan kezelik az elemzés eredeti tárgyát.
A digitális rendszerek dinamikusak. Egy futó operációs rendszer módosítja az adatokat. Az alkalmazások információkat írnak. Az okostelefonok kommunikálnak a mobil, Wi-Fi és felhőalapú infrastruktúrákkal. A háttérfolyamatok módosíthatják az adathalmazokat. Még egy látszólag ártalmatlan hozzáférés is generálhat új rendszerinformációkat.
Ezért a bizonyítékgyűjtési szakasz a kriminalisztikai nyomozás egyik legérzékenyebb része.
A vizsgálat tárgyától függően többek között a következő kérdéseket kell figyelembe venni:
- Milyen eszközt vagy adathordozót szereztek be?
- Milyen állapotban volt a vizsgálat tárgya?
- Mikor szerezték meg?
- Ki adta át?
- Melyik biztonsági módszer alkalmas technikailag?
- Másképp kell kezelni egy működő rendszert, mint egy kikapcsolt rendszert?
- Hogyan lehet az eredeti adatokat a lehető legjobban megvédeni?
- Hogyan készülnek a működő másolatok?
- Hogyan ellenőrzik a biztonsági mentésben szereplő adatok integritását?
- Hogyan dokumentálják az egyes lépéseket?
Nincs univerzális módszer, amely minden okostelefonon, számítógépen, szerveren és adathordozón működik.
Egy titkosított okostelefonnak más követelményei vannak, mint egy külső merevlemeznek. Egy bekapcsolt szervernek más szempontokat kell figyelembe vennie, mint egy kikapcsolt munkaállomásnak. Egy potenciális kiberbiztonsági incidens olyan ingatag információkat tartalmazhat, amelyek újraindítás után már nem lennének elérhetőek.
A módszeres forenzikus vizsgálat ezért a vizsgálat konkrét tárgyának technikai értékelésével kezdődik.
Hash értékek: fontosak az integritásellenőrzésekhez, de nem automatikus bizonyítékok
A digitális forenzikában a kriptográfiai hashelési módszereket gyakran használják az adathalmazok matematikai jellemzésére és a változások szabályozására.
Leegyszerűsítve a hash érték egy adott adathalmaz számítással generált jellemző értékeként tekinthető.
Ha ugyanazt az adathalmazt újra feldolgozzuk ugyanazzal a hashelési módszerrel, a hash-értékek összehasonlítása segíthet meghatározni, hogy az alapul szolgáló adatok megváltoztak-e.
A hash értékek ezért fontos elemei lehetnek az integritásbiztosításnak.
Azonban nem jelentenek varázslatos bizonyítékot.
Például egyező hash érték nem jelenti automatikusan a következőket:
- hogy a megfelelő vizsgálati tárgyat választották ki,
- hogy az eredeti adatgyűjtés jogilag megengedett volt,
- hogy minden releváns információt rögzítettek,
- hogy a szoftverértékelést helyesen értelmezték, vagy
- hogy az abból levont szakmai következtetés helyes.
A hash algoritmusok egy eszköz egy nagyobb kriminalisztikai folyamaton belül.
Ez az osztályozás különösen fontos, mivel a professzionális IT forenzika nem egyedi technikai intézkedésekből áll, hanem a biztonság, elemzés, értékelés és dokumentálás nyomon követhető láncolatából.
Felügyeleti lánc: Miért lehet fontos a dokumentált bizonyítéklánc?
A potenciálisan bizonyító erejű adatokat tartalmazó nyomozásokban nem csak az a kérdés, hogy technikailag mit találtak.
Ugyanilyen lényeges, hogy mi történt a vizsgálat tárgyával a megszerzése óta.
Ebben az összefüggésben gyakran használják a „ felügyeleti lánc” vagy a dokumentált bizonyítéklánc kifejezést.
A konkrét feladattól függően a következők dokumentálhatók:
- aki átadta a vizsgálat tárgyát,
- amikor az átadás-átvétel megtörtént,
- hogyan jelölték meg a tárgyat
- akinek hozzáférése volt hozzá,
- amikor biztonsági mentés készült,
- milyen biztonsági és elemzési módszereket alkalmaztak,
- mely munkapéldányok készültek, és
- hogyan kezelték a vizsgálat tárgyát a befejezése után.
Az ilyen dokumentáció segíthet egy képzett harmadik félnek később megérteni, hogyan keletkezett a digitális vizsgálat eredménye.
Pontosan ez az LB Forensics egyik kulcsfontosságú minőségi alapelve:
Egy eredménynek nemcsak érthetőnek kell lennie, hanem a fejlesztési folyamatnak is nyomon követhetőnek kell maradnia.
Mobil forenzika: Miért az okostelefonok a nyomozás egyik legnagyobb kihívást jelentő tárgyai
Az okostelefonok napjaink egyik leginformációgazdagabb digitális eszközei.
Az eszköztől, az operációs rendszertől, az alkalmazástól, a konfigurációtól és az elérhető adatbázistól függően tartalmazhat többek között kommunikációs információkat, alkalmazásadatokat, névjegyeket, képeket, videókat, dokumentumokat, használati információkat és egyéb digitális tárgyakat.
Ugyanakkor a modern okostelefonok a digitális forenzika területén vizsgált technikailag legnagyobb kihívást jelentő tárgyak közé tartoznak.
Ennek okai többek között:
- modern eszközkriptográfia,
- védett tárolóhelyek,
- Secure Enclave és hasonló biztonsági architektúrák,
- különböző operációs rendszer verziók,
- rendszeres biztonsági frissítések,
- Alkalmazásspecifikus adatbázisok és tárolási struktúrák,
- Felhőszinkronizálás,
- különböző eszközállapotok és
- gyors technológiai változások.
Ezért azt, hogy bizonyos adatok kinyerhetők-e egy okostelefonról, gyakran csak az adott eszköz, az operációs rendszer verziójának, az eszköz állapotának és egyéb technikai tényezők vizsgálata után lehet megbízhatóan megítélni.
Az olyan általánosító ígéretek, mint a „Bármely okostelefont teljes mértékben el tudunk olvasni” vagy az „Összes törölt üzenetet visszaállítunk”, nem felelnek meg az LB Forensik minőségi felfogásának.
A professzionális mobil forenzikusoknak el kell ismerniük technikai korlátaikat is.
A forenzikus szoftver egy eszköz – nem az igazság.
Az adott nyomozati feladattól függően az LB Forensik különféle professzionális elemzési és forenzikus megoldásokat alkalmaz.
Az esettől és a technikai feladattól függően ez magában foglalja vagy tartalmazhatja a következő területek rendszereit és eszközeit:
- Cellebrite Prémium
- UFED,
- Cellebrite fizikai analizátor
- MOBILedit Forensic,
- MEFF 3PRO,
- X-Ways,
- Belkasoft X,
- AXIOM mágnes
- XRY
- FTK Imager
- és más speciális forenzikus elemzőeszközök.
A meglévő technológia releváns. Azonban még fontosabb a felhasználásának kérdése.
A különböző programok ugyanazt az adathalmazt különböző módon értelmezhetik, strukturálhatják vagy jeleníthetik meg. Egyes műtermékeket automatikusan észlel a rendszer. Másokat manuálisan kell ellenőrizni. Összetett vagy ellentmondásos eredmények esetén szükségessé válhat az összehasonlítás más eszközökkel vagy az alapul szolgáló nyers adatokkal.
Ezért az LB Forensics egy egyszerű elven működik:
Egy szoftverprogram kimenete kezdetben egy technikai eredmény. Csak szakértői vizsgálat és osztályozás révén válik megbízható igazságügyi megállapítássá.
Ezért a kérdés nem az lehet, hogy melyik forenzikus program állítólag "a legjobb".
A döntő tényező, hogy melyik eszköz alkalmas az adott kérdésre, és hogy az azzal kapott eredményeket szakszerűen értelmezik-e.
Az automatikusan generált forenzikus jelentések nem helyettesítik a szakmai értékelést.
A modern forenzikus platformok rövid időn belül átfogó jelentéseket tudnak készíteni.
A kommunikációs adatok rendezve vannak. A kapcsolatok összekapcsolva vannak. A képek kategorizálva vannak. Az idővonalak automatikusan létrejönnek. Az alkalmazásadatok feldolgozásra kerülnek. A fájlrendszerbeli összetevők grafikus felületeken jelennek meg.
Ez óriási segítséget nyújt a gyakorlati értékeléshez.
Problémák csak akkor merülnek fel, ha egy automatikusan generált jelentést szakértői értékelésnek tévesztenek össze.
Például egy program jelezheti, hogy egy adott fájl jelen van.
Ez nem automatikusan válaszolja meg a kérdést:
- aki létrehozta ezt a fájlt,
- hogyan került a rendszerbe,
- hogy szándékosan nyitották-e ki
- hogy a tartalma ismert volt-e egy adott személy számára,
- hogy volt-e szinkronizációs szolgáltatás, vagy
- hogy a fájlt automatizált folyamat hozta-e létre.
A szoftver adatokat szolgáltat.
A forenzikus értékelésnek figyelembe kell vennie a technikai kontextusokat és az alternatív magyarázatokat.
Az időbélyegek fontosak – de még mindig félreértelmezhetők.
A digitális nyomozásokban az időbeli információk gyakran központi szerepet játszanak.
Mikor jött létre egy fájl?
Mikor változtatták meg?
Mikor használtak egy rendszert?
Mikor történt a kommunikáció?
Mikor csatlakoztattak külső adattárolót?
Az ilyen kérdések egyszerűnek tűnnek, de technikailag sokkal bonyolultabbak lehetnek.
A digitális rendszerek különböző típusú időbélyegeket tárolnak. Jelentésük többek között az adott operációs rendszertől, fájlrendszertől, programtól és adattípustól függ.
Ezenkívül a következők is relevánsak lehetnek, például:
- Időzóna beállítások,
- Nyári és téli időszámítás,
- eltérő rendszeridők,
- Fájlmásolási műveletek,
- Szinkronizációk,
- Biztonsági mentések,
- Szerveridőket,
- Felhőszolgáltatások és
- Alkalmazásspecifikus tárolási formátumok.
Ezért egyetlen időbélyeget nem szabad automatikusan egy adott emberi cselekvéssel azonosítani.
A professzionális forenzikusok megpróbálják összehasonlítani az időinformációkat más digitális tárgyakkal, és ezáltal átfogó műszaki kontextust teremteni.
A digitális forenzika erőssége a kapcsolatok rekonstruálásában rejlik.
Egyetlen digitális lelet nem mindig meghatározó.
Megbízható kép gyakran csak akkor alakul ki, ha több technikai nyomvonalat együttesen vizsgálunk.
Egy potenciális adatvédelmi incidens például nyomokat hagyhat maga után különböző területeken:
- Egy fájl feldolgozása egy adott időpontban történt.
- Külső adathordozót csatlakoztattak a rendszerhez.
- A rendszerösszetevők bizonyos tevékenységeket dokumentálnak.
- Az alkalmazásadatok kiegészítő információkat nyújtanak.
- A további időzítési információk megfelelnek az események megállapított sorrendjének.
Csak különböző adatforrások korrelációjával hozható létre érthető technikai rekonstrukció elszigetelt információkból.
Egy másik korlát is fontos itt:
Egy számítógép képes lehet dokumentálni a felhasználói tevékenységeket.
Azonban ennek a tevékenységnek egy adott természetes személyhez való egyértelmű hozzárendelése külön kérdés lehet.
Ez egy másik ok, amiért a törvényszéki szakvéleménynek egyértelműen különbséget kell tennie a következők között:
- technikailag meghatározott,
- technikailag megvalósítható,
- lehetséges,
- nem egyértelműen meghatározható
- és nem észlelhető.
Törölt adatok: Mit érhet el valójában az IT forenzika?
Az adatmentés az egyik legismertebb téma az informatikai és mobil forenzikában.
Ugyanakkor számos téves elvárás is létezik ezen a téren.
Egy törölt fájl nem feltétlenül van véglegesen olyan állapotban, amelyből teljes mértékben rekonstruálható.
A helyreállítás lehetősége számos technikai tényezőtől függ.
Ez többek között a következőket foglalhatja magában:
- Adattároló közeg típusa,
- fájlrendszer,
- operációs rendszer,
- Eszközmodell,
- Memóriakezelés,
- Titkosítás,
- TRIM vagy szemétgyűjtési folyamatok,
- az eszköz átmeneti használata,
- Korábbi adatterületek felülírása,
- Alkalmazásspecifikus adattárolás,
- Biztonsági mentések és
- Felhőszinkronizálás.
Tehát három alapvetően eltérő helyzetről van szó:
Először is: A törölt adatok továbbra is teljesen vagy részben visszaállíthatók.
Másodszor, a tényleges tartalom már nem elérhető, de más digitális tárgyak továbbra is utalnak a korábbi eseményekre.
Harmadszor: Nincs már technikailag megbízható módja a keresett információ rekonstruálásának.
A harmadik lehetőség szintén technikailag helyes vizsgálati eredményt jelenthet.
A jó hírű digitális forenzika ezért különbséget tesz a technikai lehetőségek és a reklámígéretek között.
A hivatásos forenzikusoknak azt is ki kell tudniuk mondani: Ez nem bizonyítható.
Az ügyfelek azért rendelnek el törvényszéki vizsgálatot, mert tisztázni akarják a helyzetet.
Ezt az egyértelműséget azonban nem szabad a bizonytalanságok figyelmen kívül hagyásával elérni.
A digitális adatok nem mindig adnak egyértelmű választ.
Néha hiányoznak az információk.
Néha több technikailag is elfogadható magyarázat létezik.
Néha jelen van egy tárgy, de az nem tulajdonítható egyetlen konkrét személynek sem.
Előfordul, hogy egy hipotézist sem megerősíteni, sem kizárni nem lehet.
Ilyen esetekben a szakmai felelősség része, hogy pontosan ezt dokumentálja.
Egy hivatásos igazságügyi szakértőnek nemcsak azt kell tudnia elmagyarázni, hogy mi bizonyítható, hanem azt is egyértelműen meg kell tudnia határozni, hogy mi nem bizonyítható a rendelkezésre álló adatok alapján.
Ez a hallgatagság nem gyengeség.
Ez előfeltétele annak, hogy a technikai megállapítások elkülönüljenek a feltételezésektől.
A mesterséges intelligencia két módon változtatja meg a digitális forenzikát egyszerre.
A mesterséges intelligencia jelentősen meg fogja változtatni az informatikai forenzikát.
Egyrészt a mesterséges intelligencia által támogatott módszerek segíthetnek a szakembereknek nagy adathalmazok strukturálásában, dokumentumok osztályozásában, kapcsolatok felismerésében vagy a potenciálisan releváns információk gyorsabb leszűkítésében.
Több millió fájlt vagy nagy kommunikációs archívumot érintő nyomozásokban az ilyen módszerek jelentős gyakorlati előnyökkel járhatnak a jövőben.
Ugyanakkor a mesterséges intelligencia a megvizsgálandó digitális tartalmakat is megváltoztatja.
A képek mesterségesen generálhatók.
A hangok szintetizálhatók.
A videók manipulálhatók.
A dokumentumok automatikusan létrehozhatók vagy módosíthatók.
A kommunikációt mesterséges intelligencia rendszerek generálhatják.
Ez tovább növeli a digitális információk eredetével, integritásával, kontextusával és technikai létrehozásával kapcsolatos kérdések fontosságát.
A mesterséges intelligencia eredményeit nem szabad tényként elfogadni ellenőrzés nélkül.
Egy mesterséges intelligencia rendszer képes rámutatni az anomáliákra.
Priorizálhatja a tartalmat.
Képes felismerni a mintákat.
Segítséget nyújthat bizonyos elemzési feladatokban.
Az algoritmikus értékelés azonban nem jelent automatikusan igazságügyi ténymegállapítást.
Különösen azokban az esetekben, amikor a bizonyítékok potenciálisan relevánsak, a kulcsfontosságú eredményeket megfelelő kiindulási adatok felhasználásával ellenőrizni és szakszerűen értékelni kell.
Az LB Forensics esetében ezért egy korlát elengedhetetlen:
A mesterséges intelligencia támogathatja a törvényszéki tudósok munkáját. Nem helyettesítheti a szakmai értékelés felelősségét.
Miért különösen fontos a minőségirányítás az IT forenzikában?
A digitális forenzika nem egyetlen lépésből áll.
A kezdeti kapcsolatfelvételtől a végső dokumentációig számos folyamat fonódik össze.
Ezek közé tartozik többek között:
- A megbízás pontosítása,
- A kutatási kérdés meghatározása,
- A vizsgálat terjedelmének vizsgálata,
- A vizsgált tárgyak beszerzése és címkézése,
- Megfelelő biztonsági módszerek kiválasztása,
- forenzikus adatmentés,
- Elemzés,
- Értékelés,
- Dokumentáció,
- Minőségellenőrzés,
- Bizalmas információk védelme
- és a folyamat befejezése.
Az LB Detektive GmbH strukturált minőségirányítási rendszerrel működik. A vállalat szerint a minőségirányítási rendszer tanúsítási területei kiterjednek a nyomozói munkára, az IT forenzikára, a kémelhárításra és a szakértői tanúként nyújtott szolgáltatásokra.
Fontos egy technikailag helyes különbségtétel:
A DIN EN ISO 9001 szabvány szerinti minőségirányítási rendszer tanúsítása nem jelenti azt, hogy minden egyes teszteredmény automatikusan helyes.
Ez nem garantálja a törvényszéki vizsgálat konkrét eredményét.
Egy ilyen rendszer tárgya inkább a szervezeti struktúrák és folyamatok, a meghatározott felelősségi körök, a dokumentált eljárások, az eltérések kezelése és a minőségirányítás folyamatos fejlesztése.
Pontosan ez a szervezeti szint releváns a digitális forenzika szempontjából.
Az érzékeny nyomozások nem függhetnek attól, hogy egyetlen személy emlékszik-e véletlenül a folyamat egy adott lépésére.
A felelősségi köröket és a folyamatokat reprodukálható módon kell megszervezni.
A szervezés önmagában nem helyettesíti a szakértői kompetenciát.
A jó minőségirányítás nem helyettesítheti a szakmai hozzáértést.
Ezért két szintet kell megkülönböztetni egymástól:
a szervezet minősége és a szakmailag felelős személyek képzettsége.
Sven Lungershausen ügyvezető igazgató többek között IT forenzikai és mobilrendszer-szakértői képesítésekkel rendelkezik, és az LB Detektive GmbH által kiadott DIN EN ISO/IEC 17024 szabvány szerinti szakértői tanúsítvánnyal rendelkezik.
Az ISO/IEC 17024 szabvány a meghatározott tanúsítási programok alapján személyeket tanúsító szervekre vonatkozó követelményekre vonatkozik.
Egy ilyen személyes tanúsítást ezért meg kell különböztetni az ISO 9001 szerinti irányítási rendszer tanúsításától.
Egyszerűsített:
- Az ISO 9001 szabvány a szervezetek minőségirányításával foglalkozik.
- Az ISO/IEC 17024 szabvány szerinti személyes tanúsítvány a vonatkozó tanúsítási programon belüli szabályozott kompetenciaigazolásra vonatkozik.
Az egyik nem helyettesíti a másikat.
Egy képzett szakembernek megbízható szervezeti struktúrákra van szüksége.
Egy jól szervezett vállalatnak olyan emberekre van szüksége, akik professzionálisan tudják értékelni a műszaki eredményeket.
Egy törvényszéki jelentésnek még a nem műszaki beállítottságú emberek számára is érthetőnek kell lennie.
A kriminalisztikai vizsgálatokat gyakran nem kizárólag informatikai szakemberek számára végzik.
A címzettek lehetnek például:
- Vezetés,
- Vállalati jogászok,
- külső ügyvédek,
- Megfelelőségi tisztviselők,
- Adatvédelmi tisztviselő,
- HR osztályok,
- biztosítás,
- hatóságok vagy
- Magánszemélyek.
Egy jó vizsgálati jelentésnek tehát egyszerre két követelménynek kell megfelelnie.
Technikailag pontosnak kell lennie.
És világosan el kell magyaráznia a műszaki megállapítások jelentőségét.
Egy ügyfélnek a következőket kell látnia egy jelentésből:
- melyik kérdést vizsgálták
- mely vizsgálati tárgyak álltak rendelkezésre,
- milyen módszereket alkalmaztak,
- milyen megállapításokat tettek,
- milyen technikai korlátok voltak,
- milyen következtetéseket lehet levonni ebből
- és hol húzódnak az érvényességének határai.
A komplexitás megmagyarázható.
Nem szabad annyi szakkifejezés mögé rejteni, amennyi csak lehetséges.
A digitális forenzika megköveteli az érzékeny adatok ellenőrzött kezelését.
Egy forenzikus vizsgálatnak alávetett eszköz gyakran lényegesen több információt tartalmaz, mint amennyi a nyomozás szempontjából releváns.
Például a következők találhatók számítógépen vagy okostelefonon:
- üzleti kommunikáció,
- privát üzenetek,
- Ügyféladatok,
- Személyes adatok,
- Üzleti titkok,
- Dokumentumok,
- Hozzáférési információk
- és egyéb bizalmas adatok.
Az információkhoz való hozzáférés technikai lehetősége tehát nem jelenti automatikusan azt, hogy minden technikailag hozzáférhető információnak a nyomozás részévé kell válnia.
A vizsgálat hatókörét a konkrét feladatnak és a vonatkozó jogi keretnek kell meghatároznia.
Különösen a vállalati belső vizsgálatok során lehetnek relevánsak az adatvédelmi jogi, a munkajogi és adott esetben a munkajogi kérdések.
Az LB Forensics szolgáltatásai nem helyettesítik az egyéni jogi tanácsadást. Jogilag összetett esetekben a technikai vizsgálat előtt vagy alatt szükség lehet az ügyfél jogi tanácsadóival való konzultációra.
Amikor az informatikai forenzika önmagában nem elég: Kapcsolat az ellenmegfigyeléssel és a nyomozásokkal
A komplex biztonsági incidenseket nem mindig lehet egyértelműen egyetlen szakterülethez rendelni.
Egy feltételezett információszivárgás kezdetben nyomokat adhat például egy számítógépen.
Ezután egy okostelefon relevánssá válhat.
A következő lépés annak kivizsgálása lehet, hogy bizalmas információkhoz az informatikai rendszereken kívül is hozzáfértek-e.
Ez azt jelentheti, hogy egyetlen ügyben különböző nyomozati szakterületekre van szükség.
Az LB Csoporton belül ezért különböző részlegek működhetnek együtt – az adott helyzettől függően:
- LB Forensics IT forenzikához, Számítógépes kriminalisztika és mobil forenzikus szakértők,
- LB lehallgatás elleni védelem műszaki ellenőrzés és az esetleges műszaki megfigyeléssel kapcsolatos nyomozás céljából,
- LB Nyomozóiroda klasszikus üzleti és magánnyomozásokhoz, valamint tényeken alapuló nyomozati intézkedésekhez.
Az LB Csoport az LB Detektive GmbH márkája . Az egyes részlegek nem válnak különálló vállalatokká, hanem az LB Detektive GmbH szervezeti ernyője alatt specializált szolgáltatási területeket alkotnak.
Az ügyfelek számára ez a megközelítés különösen hasznos lehet, ha egy ügy digitális, technikai és hagyományos nyomozati kérdéseket ötvöz.
Hogyan ismerhetik fel az ügyfelek a professzionális IT forenzikát
A digitális forenzika szolgáltatóját választóknak nem szabad kizárólag a szoftverlogók, a technikai felsőfokok vagy az állítólagosan teljesen helyreállítható adatok ígéretei alapján lenyűgözniük.
A konkrét kérdések informatívabbak.
1. Ki viseli a szakmai felelősséget?
Egyértelműnek kell lennie, hogy ki a felelős a vizsgálatért és az értékelésért, és milyen szakmai képesítésekkel rendelkezik ez a személy.
2. Hogyan jutunk a vizsgálat tárgyához?
Egy professzionális szolgáltatónak képesnek kell lennie elmagyarázni, hogyan dokumentálják, védik és kezelik a digitális eszközöket és adathordozókat.
3. Hogyan szabályozzák az adatok integritását?
A biztonsági mentési módszertől függően megfelelő intézkedéseknek kell lenniük a változások észlelésére, valamint az eredeti és a működő adatok kezelésének nyomon követhetőségére.
4. Minden szoftverkiadást ellenőrzés nélkül fogadnak el?
A professzionális forenzikai elemzés megköveteli az automatikusan generált eredmények professzionális értékelését.
5. Kifejezetten feltüntetik a technikai korlátokat?
Senki sem tudja komolyan garantálni, hogy minden törölt adat helyreállítható, vagy hogy minden okostelefon teljes mértékben elemezhető.
6. A vizsgálat egy adott kérdésre összpontosít?
A célzott nyomozás egészen más, mint az összes rendelkezésre álló adat korlátozás nélküli átkutatása.
7. Dokumentálva van-e a vizsgálati folyamat?
Az ügyfélnek később képesnek kell lennie megérteni, hogyan származtatott egy műszaki megállapítást a vizsgálat tárgyából.
8. Kifejezheti-e a szolgáltató a bizonytalanságát?
Minden egyes technikai információ végleges nyilatkozattá alakítása nem jelenti automatikusan azt, hogy különös precizitással dolgozunk.
Gyakran az ellenkezője igaz.
Az IT forenzika jövőjét nem a programok száma határozza meg.
A forenzikus rendszerek egyre erősebbek.
Az okostelefonok ezzel egy időben egyre biztonságosabbá válnak.
A titkosítás folyamatosan fejlődik.
A felhőalapú infrastruktúrák egyre összetettebbek.
A mesterséges intelligencia képes lesz nagyobb mennyiségű adatot gyorsabban elemezni, miközben új manipulációs lehetőségeket teremt.
A vállalatok egyre több digitális információt generálnak.
Ez megváltoztatja a törvényszéki tudós szerepét is.
Az értéke egyre kevésbé fog abban rejleni, hogy egyszerűen csak adatokat olvas le egy eszközről.
A kulcsfontosságú feladat az lesz, hogy összetett adathalmazokból azonosítsuk az adott kérdés szempontjából technikailag releváns információkat, érthető módon ellenőrizzük azokat, és helyesen korlátozzuk a jelentőségét.
A technológia hozzáférési lehetőségeket teremt.
A módszertan nyomon követhetőséget teremt.
A szakértelem értékelést teremt.
A dokumentáció biztosítja az ellenőrizhetőséget.
Az LB Forensics minőségfelfogása
Az LB Forensik ezért nem egyetlen eszközzel vagy a lehető leglátványosabb kijelentések megtételével határozza meg a professzionális digitális forenzikát.
Szempontunkból több egymással összefüggő szint kulcsfontosságú:
- egy világosan meghatározott kutatási kérdés,
- egy megfelelő forenzikus biztonsági stratégia,
- a kutatási objektumok ellenőrzött kezelése,
- professzionális forenzikus eszközök,
- professzionális elemzés a kipróbálatlan szoftverkimenet helyett,
- közérthető dokumentáció,
- az érzékeny adatok védelme,
- a találás és az értelmezés egyértelmű szétválasztása,
- nyíltan kommunikált technikai korlátokról,
- minősített szakmai felelősség
- és strukturált szervezeti folyamatok.
Az LB Forensics az LB Csoport része. Az LB Csoport az LB Detectives GmbH márkája, amelynek székhelye Esslingen am Neckarban található .
E szervezeti ernyő alatt egyesülnek a digitális forenzika, a mobil forenzika, a szakértői értékelések, a nyomozati munka és a műszaki elhárítás szakértelme.
Ez lehetővé teszi, hogy az összetett vizsgálatok a kutatási kérdésre összpontosítsanak, ahelyett, hogy egyetlen eszközre vagy szakterületre korlátozódnának.
Egy digitális bizonyítéknak képesnek kell lennie elmagyarázni, hogyan készült.
Egy digitális nyomozás végén gyakran felmerül egy látszólag egyszerű kérdés:
Mit találtak?
Ez a kérdés azonban nem elegendő a professzionális informatikai forenzikusok számára.
Ugyanilyen fontos:
Hogyan született ez a megállapítás?
Milyen vizsgálati tárgy volt jelen?
Hogyan készült az adatok biztonsági mentése?
Milyen eszközöket használtak?
Milyen műszaki cikkeket értékeltek?
Milyen alternatív magyarázatokat mérlegeltek?
Hol vannak ennek az állításnak a határai?
Megértheti-e egy képzett harmadik fél a vizsgálati folyamatot?
Az adatkinyerés csak akkor eredményez megbízható kriminalisztikai vizsgálatot, ha az ilyen kérdésekre érthető módon lehet válaszolni.
A digitális forenzika jövője tehát nem automatikusan ahhoz a vállalathoz tartozik, amelyik a legtöbb adatot nyeri ki, vagy a leghosszabb elemzőprogram-listával rendelkezik.
Azoké, akik el tudják magyarázni, honnan származik egy megállapítás, hogyan igazolták, és mit állít valójában.
Mivel a digitális adatok másodpercek alatt másolhatók.
A forenzikai minőség csak ellenőrzött folyamatok, technikai hozzáértés, érthető módszertan és felelősségteljes szakmai értékelés révén érhető el.
Gyakran ismételt kérdések az informatikai forenzikáról, a digitális bizonyítékokról és a hitelügyi forenzikáról
Mi a digitális forenzika?
A digitális forenzika a digitális információk módszeres biztosításával, vizsgálatával, elemzésével és értékelésével foglalkozik. A vizsgálat tárgyai lehetnek számítógépek, okostelefonok, táblagépek, adathordozók, szerverek és más digitális rendszerek. A cél nem pusztán a lehető legtöbb adat megszerzése, hanem egy adott kérdés reprodukálható vizsgálatának lefolytatása.
Mi a különbség az IT forenzika és a mobil forenzika között?
Az IT forenzika a digitális rendszerek és adatok vizsgálatának gyűjtőfogalma. A mobil forenzika kifejezetten az okostelefonokra, táblagépekre és mobil operációs rendszerekre összpontosít. Az eszközkriptográfia, az alkalmazásstruktúrák és a változó biztonsági mechanizmusok miatt a mobil forenzika speciális módszereket és eszközöket igényel.
A törölt adatok mindig visszaállíthatók?
Nem. Az, hogy a törölt adatok teljes mértékben, részlegesen vagy egyáltalán nem állíthatók-e vissza, olyan tényezőktől függ, mint az eszköz, a tárolóközeg, az operációs rendszer, a fájlrendszer, a titkosítás és az esetleges közbenső felhasználás. Ezért megbízható nyilatkozat gyakran csak műszaki vizsgálat után lehetséges.
Visszaállíthatók a törölt WhatsApp vagy Messenger üzenetek?
Ez bizonyos esetekben lehetséges lehet, de nem garantálható minden esetben. Az adott okostelefon, az operációs rendszer és az alkalmazás verziója, a meglévő helyi adatok, a biztonsági mentések, a szinkronizálás, a titkosítás és egyéb technikai tényezők döntő fontosságúak.
Mit jelent a forenzikus adatmentés?
A forenzikai adatmegőrzés megfelelő módszerek alkalmazását foglalja magában a releváns digitális információk olyan módon történő biztosítására, hogy az eredeti adatok a lehető legnagyobb mértékben védettek maradjanak, és a későbbi nyomozati lépések nyomon követhető módon dokumentálhatók legyenek. A konkrét módszer a nyomozati tárgytól függ.
Mi a hash értékek jelentősége az IT forenzikában?
A hash értékek segítségével ellenőrizhető a digitális adatok integritása. Segíthetnek annak ellenőrzésében, hogy egy adott adathalmaz megváltozott-e két időpont között. Azonban nem helyettesítik a bizonyítékok megfelelő megőrzését vagy a nyomozás professzionális értékelését.
Mit jelent a Felügyeleti Lánc?
Forenzikus kontextusban a felügyeleti lánc a vizsgálat tárgyának vagy bizonyítékának kezelésének nyomon követhető dokumentációját jelenti. Ez magában foglalhatja az átadást, a hozzáférést, a biztosítást, a feldolgozást és egyéb releváns munkalépéseket.
Milyen szoftvert használ az LB Forensics?
Az eszköztől, az adattípustól és a vizsgálati kérdéstől függően különböző specializált rendszerek használhatók. Az LB Forensics szolgáltatásoldalain többek között megtalálható a Cellebrite Premium, az UFED, a Physical Analyzer, a MOBILedit Forensic, a MEFF 3PRO, az X-Ways, a Belkasoft X, a Magnet AXIOM, az XRY és más forenzikus eszközök. Az, hogy egy adott esetben melyik megoldás a megfelelő, a technikai követelményektől függ.
A forenzikus szoftverek kimenete már bizonyítéknak minősül?
Nem automatikusan. A szoftverek képesek digitális tárgyak kinyerésére és megjelenítésére. Jelentésüket azonban technikailag értékelni kell. A kulcsfontosságú tényezők közé tartozik a tárgy eredete, megbízhatósága, alternatív magyarázatok, és hogy mely következtetések érvényesek valójában.
Helyettesítheti-e a mesterséges intelligencia egy informatikai szakértőt?
A mesterséges intelligencia segíthet a nagy adathalmazok strukturálásában és elemzésében. A potenciálisan bizonyító erejű megállapításokat tartalmazó esetekben azonban az eredményeket szakmailag felül kell vizsgálni és értékelni kell a technikai kontextusukban. A forenzikus következtetésekért való felelősséget nem szabad automatizált rendszerre átruházni ellenőrzés nélkül.
Mi köze a kémelhárításnak az IT forenzikához?
Az információszivárgás összetett eseteiben a digitális rendszerek mellett a fizikai helyiségek, okostelefonok, kommunikációs eszközök vagy egyéb műszaki komponensek is relevánsak lehetnek. Ilyen esetekben az informatikai forenzika és a műszaki elhárítás ugyanazon biztonsági probléma különböző aspektusait vizsgálhatja.
Mi az LB Csoport?
Az LB Group az LB Detektive GmbH márkája. Az olyan speciális szolgáltatási területek, mint az LB Forensics, az LB Magánnyomozás és az LB Lehallgatás elleni védelem, az LB Group alá tartoznak. A szerződéses és szervezeti alapot az LB Detektive GmbH biztosítja.
Mi az LB Forensics?
Az LB Forensics az LB Csoport digitális forenzikára, IT forenzikára és mobil forenzikára szakosodott részlege. Az LB Csoport az LB Detektive GmbH márkája, amelynek székhelye Esslingen am Neckarban található.
Ki viseli a szakmai felelősséget?
Sven Lungershausen az LB Detektive GmbH egyik ügyvezető igazgatója. A cég IT forenzika és mobilrendszerek szakértőjeként, valamint a DIN EN ISO/IEC 17024 szabvány szerinti minősített szakértőként azonosítja.
Az ISO 9001 tanúsítvány bizonyítja, hogy minden szakértői vélemény helyes?
Nem. A DIN EN ISO 9001 szabvány szerinti tanúsítás egy minőségirányítási rendszerre vonatkozik, és nem szabad összetéveszteni egyetlen műszaki megállapítás vagy szakértői vélemény pontosságának garanciájával. Egy adott folyamat szakmai minőségéhez a minősítés, a módszertan, a vizsgálat, az értékelés és a dokumentáció is kulcsfontosságú.
Kinek dolgozik az LB Forensics?
A digitális forenzikai vizsgálatok relevánsak lehetnek vállalatok, ügyvédi irodák, szervezetek, kormányzati szervek (megbízatásuk keretein belül) és magánszemélyek számára. Azt, hogy melyik típusú vizsgálat a megfelelő és megvalósítható, az egyes esetek konkrét körülményei alapján kell meghatározni.
A digitális anomáliákat a lehető leghamarabb szakszerűen fel kell mérni.
Adatvédelmi incidens, számítógépen vagy okostelefonon végzett gyanús tevékenység, törölt információk, kiberbiztonsági incidens vagy más digitális anomáliák esetén az érintett rendszer további kezelése is hatással lehet a meglévő digitális nyomokra.
Ezért mielőtt bármilyen független változtatást, új telepítést, alaphelyzetbe állítást vagy kiterjedt hozzáférést végezne, hasznos lehet először tisztázni, hogy mely biztonsági intézkedések alkalmasak az adott rendszerhez.
LB Forensics – digitális forenzika az LB Groupon belül, az LB Detectives GmbH márkája.
A hangsúly az ellenőrizhető adatmentésen, a technikai elemzésen, a szakértői értékelésen és a digitális ügyek érthető dokumentálásán van.
