A számítógépek sokkal több információt tárolnak, mint ami azonnal nyilvánvaló. Az operációs rendszerek, fájlrendszerek, alkalmazások, böngészők, felhasználói fiókok, külső tárolóeszközök és rendszernaplók digitális nyomokat hagyhatnak maguk után, amelyek lehetővé teszik a folyamatok technikai rekonstruálását, néha jóval egy esemény bekövetkezte után.

Az LB Forensik számítógépes forenzikai szolgáltatásai a Windows PC-ken, notebookokon, Apple Mac rendszereken, merevlemezeken, SSD-ken és egyéb adathordozókon található digitális nyomok professzionális biztosítására, elemzésére és értékelésére összpontosítanak.

A kérdéstől függően például kivizsgálható, hogy mely fájlok voltak jelen vagy törölve, mikor történtek bizonyos felhasználói tevékenységek, mely külső adattároló eszközök voltak csatlakoztatva, mely internetes tevékenységek követhetők nyomon, vagy vannak-e technikai jelek rosszindulatú programokra, manipulációra vagy jogosulatlan hozzáférésre.

A döntő tényező nem a kinyert adatok lehető legnagyobb mennyisége. A forenzikus vizsgálat célja egy technikailag ellenőrizhető válasz a konkrét bizonyítási kérdésre.

A digitális bizonyítékokra vonatkozó alapvető követelményeket részletesebben ismertetjük „A digitális bizonyítékok integritása” című cikkünkben . Az okostelefonokat vagy táblagépeket is érintő nyomozásokban a számítógépes elemzés kombinálható a mobil forenzikai vizsgálatunkkal.

Mi a számítógépes forenzika?

A számítógépes forenzika a digitális forenzika egyik részterülete. A számítógépeken és a hozzájuk kapcsolódó tárolórendszerekben található digitális nyomok strukturált biztosításával, vizsgálatával, rekonstrukciójával és értékelésével foglalkozik.

A vizsgálat tárgya többek között asztali számítógépek, notebookok, MacBookok, merevlemezek, SSD-k, USB-tárolóeszközök, memóriakártyák, külső meghajtók vagy kiválasztott szerver- és hálózati adatok lehetnek.

Egy professzionális vizsgálat egy világosan megfogalmazott kérdéssel kezdődik:

Mely digitális nyomok képesek technikailag megerősíteni, cáfolni vagy rekonstruálni egy adott folyamatot az időben?

Csak ezután határozzák meg, hogy mely rendszereket kell biztosítani, és mely forenzikus tárgyakat kell megvizsgálni.

Milyen kérdésekre tud választ adni a számítógépes forenzika?

A rendelkezésre álló adatoktól és a vizsgálat terjedelmétől függően többek között a következőket lehet megvizsgálni:

• mely fájlok voltak jelen a számítógépen,
• amikor a fájlokat létrehozták, módosították vagy törölték,
• hogy a törölt adatok még mindig helyreállíthatók-e,
• mely felhasználói fiókokat használták,
• mely programokat futtatták vagy telepítették,
• mely külső tárolóeszközök voltak csatlakoztatva
• mely internetes és böngészési tevékenységek követhetők nyomon,
• vannak-e jelek jogosulatlan hozzáférésre,
• vannak-e kártevő technikai nyomai,
• hogy a fájlok esetleg átmásolódtak-e vagy átkerültek-e külső tárolóeszközökre,
• hogy a manipulációk vagy törlési műveletek nyomon követhetők-e,
• mely események időben összefüggenek.

Nem minden kérdésre lehet egyetlen tényező alapján válaszolni. Gyakran csak több független adatforrás korrelációja révén alakul ki megbízható átfogó technikai kép.

Számítógép igazságügyi megőrzése

Egy számítógépes elemzésnek alapvetően különbséget kell tennie az eredeti rendszer biztonságossá tétele és a későbbi elemzés között.

Megfelelő esetekben először a releváns adathordozókról vagy adatkészletekről készítenek forenzikus biztonsági mentést. A további elemzést lehetőség szerint a biztonsági mentésen vagy egy kijelölt munkapéldányon végzik el.

Ennek célja, hogy megakadályozza az eredeti rendszer szükségtelen vizsgálati lépésekkel történő megváltoztatását.

A megfelelő biztonsági mentési módszer a rendszer állapotától, a titkosítástól, az adathordozó típusától és a konkrét bizonyítási kérdéstől függ.

Merevlemez-szakértés

A hagyományos merevlemezek kiterjedt kriminalisztikai információkat tartalmazhatnak.

A jelenleg látható fájlokon kívül a fájlrendszertől és a további felhasználástól függően törölt fájlok, fájlrendszer-struktúrák, metaadatok és egyéb digitális műtermékek is jelen lehetnek.

Egy merevlemez-elemzés tehát messze túlmutathat a látható mappák és fájlok egyszerű megnyitásán.

SSD forenzika

A modern SSD-k vizsgálata fontos szempontokban eltér a klasszikus mágneses merevlemezek vizsgálatától.

Az olyan technológiák, mint a kopáskiegyenlítés, a szemétgyűjtés és a TRIM, befolyásolják az adatok belső tárolását és a törlési folyamatok utáni kezelését.

Az a széles körben elterjedt feltételezés, hogy a törölt fájlokat ugyanúgy lehet helyreállítani egy SSD-ről, mint egy hagyományos merevlemezről, ezért technikailag megbízhatatlan.

Még ha a fájlok tartalma már nem is rekonstruálható, más tárgyak bizonyítékot szolgáltathatnak arra, hogy fájlok, alkalmazások vagy bizonyos tevékenységek léteztek.

Fájlrendszer-forenzika

A fájlrendszerek fájlokat, könyvtárakat és a hozzájuk tartozó metaadatokat rendszerezik.

Az operációs rendszertől és a tárolóközegtől függően különböző fájlrendszerek lehetnek relevánsak.

Az elemzés információkat szolgáltathat fájlokról, könyvtárszerkezetekről, időbélyegekről és egyéb fájlrendszeri elemekről.

Figyelembe kell venni, hogy a különböző időbélyegek eltérő technikai jelentéssel bírnak, és különböző rendszerfolyamatok módosíthatják őket.

Windows forenzika

A Windows rendszerek használatuk során számos digitális képhibát generálnak.

A kérdéstől függően a releváns információk tartalmazhatnak felhasználói profilokat, beállításjegyzékbeli adatokat, eseménynaplókat, fájlrendszer-információkat, parancsikonokat, programfuttatási melléktermékeket, böngészőadatokat és a csatlakoztatott eszközökkel kapcsolatos információkat.

Ezen források egyesítésével bizonyos felhasználói és rendszertevékenységek kronológiai sorrendben rekonstruálhatók.

Mac forenzika és macOS

Az Apple rendszerek számos, forenzikus szempontból releváns adatforrást is tartalmaznak.

Mac, MacBook és macOS vizsgálatakor különös figyelmet kell fordítani a használt fájlrendszerre, a biztonsági mechanizmusokra, a felhasználói fiókokra és az esetleges meghajtótitkosításra.

A modern Apple rendszerek műszaki specifikációikban jelentősen eltérnek a klasszikus Windows PC-ktől. Ezért a biztonsági mentési stratégiát az adott hardver- és operációsrendszer-generációhoz kell igazítani.

Linux forenzika

A Linux rendszerek különösen relevánsak lehetnek szerverek, fejlesztői környezetek és műszaki munkahelyek számára.

A disztribúciótól és a konfigurációtól függően rendszernaplók, felhasználói információk, shell előzmények, fájlrendszeri összetevők, konfigurációs fájlok és egyéb technikai adatok vizsgálhatók.

Az, hogy milyen nyomok vannak jelen, nagymértékben függ az adott rendszerkonfigurációtól.

RAM forenzikus és illékony adatok

Nem minden releváns információ tárolódik véglegesen merevlemezen vagy SSD-n.

Egy működő számítógép memóriája felejtő információkat tartalmazhat.

A rendszer állapotától és a vizsgálat céljától függően ezért releváns lehet a munkamemória biztonsági mentése.

A RAM-adatok információkat tartalmazhatnak a futó folyamatokról, a hálózati kapcsolatokról vagy a biztonsági mentés időpontjában aktív egyéb rendszerállapotokról.

Ez az információ mindig elvész, amikor a rendszer ki van kapcsolva.

Élő forenzika vagy kikapcsolt rendszer?

Az a döntés, hogy egy működő számítógépet kikapcsolunk, vagy működés közben megvizsgáljuk és biztosítjuk, jelentős következményekkel járhat a bizonyítékok szempontjából.

Egy futó rendszer illékony információkat tartalmazhat. Ugyanakkor a futó számítógéppel való minden interakció megváltoztatja annak állapotát.

Titkosított rendszerekben az is releváns lehet, hogy az adathordozó a vonatkozó időpontban már dekódolt állapotban van-e csatlakoztatva.

Ezért nincs egyetlen helyes ajánlás minden esetre.

Bizonyítékokat vagy biztonsági aggályokat érintő konkrét incidens esetén célszerű – lehetőség szerint – további intézkedések megtétele előtt tisztázni, hogy technikailag melyik biztonsági stratégia a megfelelő.

Törölt fájlok igazságügyi vizsgálata

Egy fájl törlése nem jelenti automatikusan azt, hogy az összes információ azonnal eltűnik minden tárolórendszerről.

A fájlrendszertől, a tárolóközegtől, a törlési módszertől és a további felhasználástól függően továbbra is előfordulhatnak adatok vagy fájlmaradványok.

Az SSD-k esetében azonban a TRIM és a belső memória-karbantartási mechanizmusok jelentősen korlátozhatják a helyreállítást.

Ezért a törölt adatok helyreállítása általánosságban soha nem garantálható.

Nyomok restaurálás nélkül is megmaradhatnak.

Egy kriminalisztikai vizsgálat során nem kizárólag az a döntő, hogy a törölt fájl teljes tartalma helyreállítható-e.

Más rendszerösszetevők utalásokat adhatnak a korábbi fájlokra vagy tevékenységekre.

Ez relevánssá teheti például azt, hogy egy adott fájlnév, tárolási útvonal vagy használati folyamat továbbra is nyomon követhető-e más adatstruktúrákban.

Fájlok és dokumentumok vizsgálata

A dokumentumok a látható tartalmukon kívül további technikai információkat is tartalmazhatnak.

A fájlformátumtól függően metaadatok, időinformációk, szerzői információk vagy egyéb tulajdonságok is jelen lehetnek.

Ezek az adatok relevánsak lehetnek egy dokumentum létrehozásával, szerkesztésével vagy eredetével kapcsolatos kérdések szempontjából.

A metaadatokat azonban technikai kontextusban kell értékelni, mivel alapvetően megváltoztathatók.

USB forenzika és külső tárolóeszközök

Adatszivárgás vagy jogosulatlan adatmásolás gyanúja esetén gyakran a döntő kérdés az, hogy használtak-e külső adathordozót.

A számítógépek nyomokat hagyhatnak a csatlakoztatott USB-eszközökről.

Az operációs rendszertől és az adatok elérhetőségétől függően előfordulhat, hogy információk jelennek meg az adott eszközökről vagy azok használatáról.

Ez az információ összefüggésbe hozható a fájl-, felhasználó- és időinformációkkal.

Lehetséges bizonyítani, hogy mely fájlokat másoltam USB-meghajtóra?

Ezt a kérdést eseti alapon kell megvizsgálni.

Az a tény, hogy egy adott USB-tárolóeszközt csatlakoztattak, nem feltétlenül bizonyítja, hogy mely fájlokat másolta át rá.

Ezért egy lehetséges adatszivárgás technikai rekonstruálásához különféle tárgyakat kell összehasonlítani egymással.

Ez a megkülönböztetés különösen fontos a munkajoggal vagy a fehérgalléros bűnözéssel kapcsolatos ügyekben.

Böngésző kriminalisztika és internetes tevékenység

A webböngészők kiterjedt digitális nyomokat generálhatnak.

A böngészőtől, a felhasználói profiltól és az adatállapottól függően például az előzmények, a letöltések, a sütik, a gyorsítótár-adatok, a mentett munkamenet-információk vagy más böngésző-összetevők relevánsak lehetnek.

Ez lehetővé teszi bizonyos internetes tevékenységek időrendi sorrendbe helyezését, ha szükséges.

Itt is érvényes a következő: egyetlen böngészőbeli elemet nem szabad automatikusan egy adott természetes személyhez kötni.

Tevékenységek letöltése és feltöltése

Bizonyos vizsgálatoknál releváns, hogy a fájlokat az internetről töltötték-e le, vagy online szolgáltatásokon keresztül továbbították-e.

A böngészőadatok, a fájlrendszer-összetevők, az alkalmazásinformációk és esetleg más naplók is nyomokat adhatnak.

Az, hogy egy adott feltöltés vagy letöltés megbízhatóan bizonyítható-e, a rendelkezésre álló technikai bizonyítékoktól függ.

E-mail forenzika számítógépeken

Az e-mailes kommunikáció különböző szinteken képes releváns információkat közvetíteni.

A látható üzenetek mellett a helyi levelezési adatbázisok, mellékletek, fejlécinformációk, gyorsítótár-adatok és egyéb elemek is megvizsgálhatók.

Komplex esetekben a helyi számítógépes elemzés kombinálható a vonatkozó e-mail fiók vagy más elérhető adatforrások vizsgálatával.

Felhőalapú nyomkövetések számítógépen

Még ha a fájlokat felhőszolgáltatásban tárolják is, a helyi nyomok továbbra is megmaradhatnak a számítógépen.

A szinkronizációs programok, a helyi könyvtárak, a gyorsítótár-adatok, a konfigurációk és egyéb összetevők nyomokat adhatnak a felhőszolgáltatás használatáról.

A helyi számítógépes leletek és a felhőszolgáltató által ténylegesen tárolt adatok azonban különböző bizonyítékforrások, és külön kell értékelni őket.

Kártevők és rosszindulatú szoftverek vizsgálata

Ha felmerül a gyanú, hogy számítógép feltörve van, ellenőrizhető, hogy vannak-e technikai jelek rosszindulatú programra vagy más nem kívánt változásokra.

Ez lehetővé teszi fájlok, folyamatok, automatikus indítási mechanizmusok, rendszerkonfigurációk, eseménynaplók és egyéb elemek vizsgálatát.

Egy professzionális elemzés nem korlátozódik arra, hogy egyszerűen megállapítsa, hogy a víruskereső észlelt egy adott fájlt.

A döntő inkább az, hogy mely technikailag ellenőrizhető nyomok vannak jelen, és milyen következtetések vonhatók le belőlük.

Számítógépes feltörés – bizonyítható a támadás?

Attól függ, hogy a korábbi jogosulatlan hozzáférés bizonyítható-e, hogy milyen nyomok maradtak fenn.

A releváns információk megtalálhatók a rendszernaplókban, felhasználói fiókokban, alkalmazásokban, böngészőadatokban, hálózati nyomkövetésekben vagy egyéb elemekben.

Azonban egy kimutatható tárgy hiánya nem bizonyítja automatikusan, hogy a támadás soha nem történt meg.

Hasonlóképpen, egyetlen technikai anomália nem feltétlenül bizonyítja a sikeres kompromisszumot.

Zsarolóvírusok és titkosítási támadások

Egy zsarolóvírus-incidens után különféle kriminalisztikai kérdések merülhetnek fel.

Ez magában foglalja például a lehetséges kezdeti támadási útvonalat, az érintett felhasználói fiókokat, a végrehajtott programokat, az idővonalakat és azt, hogy mely rendszerek érintettek.

Vállalati incidensek esetén egy ilyen vizsgálat egy átfogóbb incidensekre adott válaszelemzés része lehet.

A feltételezett manipuláció kivizsgálása

Vitás esetekben felmerülhet a kérdés, hogy a fájlokat, dokumentumokat vagy más digitális információkat később módosították-e.

A számítógépes forenzika képes megvizsgálni a meglévő metaadatokat, a fájlrendszer-információkat és egyéb technikai elemeket, ellenőrizve az ellentmondásokat.

Egy technikai anomália azonban nem feltétlenül bizonyítja a szándékos manipulációt.

Ezzel szemben az anomália hiánya nem bizonyítja, hogy egy fájlt soha nem módosítottak.

Felhasználói tevékenység rekonstruálása

A modern operációs rendszerek számos hibát generálnak használatuk során.

A különböző források összefüggéseinek feltárásával rekonstruálható, hogy mely tevékenységek zajlottak egy rendszeren adott időpontokban.

Különbséget kell tenni egy felhasználói fiók tevékenysége és egy természetes személy kiléte között.

Az a tény, hogy egy adott felhasználói fiók aktív volt, nem bizonyítja automatikusan, hogy melyik személy ült valójában a számítógép előtt.

Idővonal-elemzés – az események kronológiai rekonstruálása

A számítógépes forenzika egyik leghatékonyabb módszere a különböző digitális nyomok időbeli korrelációja.

Ez lehetővé teszi például a fájlrendszer eseményeinek, rendszernaplóinak, programfuttatásoknak, böngészőtevékenységeknek, USB-kapcsolatoknak és egyéb elemeknek a közös időbeli kontextusba helyezését.

Egy ilyen idővonal segíthet lépésről lépésre rekonstruálni az összetett folyamatokat.

Az időbélyegeket technikai szempontból helyesen kell értelmezni. A különböző rendszerek eltérő időzónákat, időformátumokat és az időértékek jelentését használhatják.

Vizsgáld meg együtt a számítógépet és az okostelefont

A digitális ügyek manapság ritkán korlátozódnak egyetlen eszközre.

Előfordulhat, hogy egy dokumentumot számítógépen hoztak létre, felhőszolgáltatáson keresztül szinkronizáltak, okostelefonon nyitottak meg, majd üzenetküldőn keresztül küldtek el.

Komplex esetekben ezért a különböző eszközök együttes vizsgálata lényegesen informatívabb lehet.

Az LB Forensics egy közös nyomozási stratégián belül képes ötvözni a számítógépes és a mobil forenzikát .

Titkosított számítógépek és adattároló eszközök

A modern számítógépek egyre inkább meghajtó- és fájltitkosítást használnak.

Például a BitLocker Windows rendszereken, a FileVault pedig Apple rendszereken lehet releváns.

A titkosított adatokhoz való hozzáférés módja és annak elérhetősége a rendszer állapotától, konfigurációjától és az elérhető hozzáférési információktól függ.

Ezért a meglévő titkosítást figyelembe kell venni a bizonyítékok megőrzésének tervezésekor.

Forenzikus biztonsági mentés az egyszerű fájlmásolás helyett

A látható fájlok USB-meghajtóra másolása nem egyenértékű a teljes körű adatmentéssel.

Egy professzionális biztonsági mentési folyamat dokumentálja, hogy melyik rendszert vagy adathordozót használták, milyen módszert alkalmaztak, és melyik adatkészletről készült biztonsági mentés.

A vizsgált esettől függően a kriptográfiai hash értékek felhasználhatók a meghatározott adatkészletek integritásának nyomon követhető módon történő dokumentálására.

A hash érték nem bizonyítja automatikusan egy fájl tartalmának valódiságát vagy szerzőségét. Elsősorban annak összehasonlítását teszi lehetővé, hogy egy meghatározott adathalmaz megváltozott-e egy dokumentált referenciaállapothoz képest.

Írásblokkoló és az eredeti adathordozó védelme

A megfelelő adathordozó-elemzések hardveres vagy szoftveres módszereket alkalmazhatnak, amelyek célja az eredeti adathordozóhoz való véletlen írási hozzáférés megakadályozása vagy minimalizálása.

A megfelelő módszer kiválasztása az adott adathordozótól és a biztonsági mentési stratégiától függ.

A cél a bizonyítékok eredeti állapotának megőrzése amennyire technikailag lehetséges, és a változások nyomon követhető módon történő dokumentálása.

Felügyeleti lánc és bizonyítéklánc

A jogilag releváns vizsgálatokban az elemzés eredménye nem az egyetlen fontos tényező.

Ugyanilyen fontos lehet annak nyomon követése, hogy melyik eszközt vizsgálták meg, mikor szerezték meg, hogyan biztosították, és milyen adatkészleten alapul a későbbi elemzés.

Ezt a dokumentált bizonyítékláncot gyakran felügyeleti láncnak nevezik.

Kriminalisztikai jelentés és szakértői vélemény

Egy átfogó technikai elemzés csak akkor hasznos, ha az eredményeket érthető módon mutatják be.

A megbízástól függően a releváns megállapítások tehát dokumentálhatók egy vizsgálati jelentésben vagy egy szakértői elemzésben.

A jó kriminalisztikai dokumentáció különbséget tesz a következők között:

• megállapított műszaki tények,
• alkalmazott vizsgálati módszerek,
• technikai következtetések,
• meglévő korlátozások és
• Olyan kérdések, amelyekre a rendelkezésre álló adatok alapján nem lehet válaszolni.

További információért forduljon IT és mobil forenzikai szakértői irodánkhoz.

Mit kell kerülni egy számítógépes forenzikus vizsgálat előtt?

Egy potenciális bizonyítási ügyben a meggondolatlan lépések megváltoztathatják a meglévő bizonyítékokat.

• Ne töröljön vagy helyezzen át fájlokat idő előtt.
• Ne használjon semmilyen tisztítóprogramot.
• Ne állítsa vissza a számítógépet a gyári beállításokra.
• Ne telepítsen új operációs rendszert.
• Ne formázz SSD-t vagy merevlemezt.
• Ne telepítsen felesleges frissítéseket.
• Ne végezzen semmilyen vírusvédelmi vagy javítási intézkedést előzetes felmérés nélkül.
• Kerülje a külső tárolóeszközök szükségtelen csatlakoztatását.
• Ne töröljön naplófájlokat vagy felhasználói profilokat.

Egy futó rendszert nem szabad automatikusan leállítani. Az illékony adatok vagy a titkosítás állapota releváns lehet a biztonsági mentési stratégia szempontjából.

Számítógépes forenzika vállalkozások számára

A vállalatoknál a számítógépes forenzika különösen releváns lehet adatszivárgás, jogosulatlan hozzáférés, rosszindulatú programok, belső manipuláció, megfelelőségi szabálysértések vagy egyéb biztonsági incidensek gyanúja esetén.

A technikai lehetőségeket és a jogi kereteket együttesen kell figyelembe venni.

Ezért a vizsgálatnak egy adott kérdésre és egy egyértelműen meghatározott vizsgálati körre kell összpontosítania.

Számítógépes forenzika alkalmazotti ügyekben

A belső vizsgálatok során a munkaállomások számítógépei fontos digitális nyomokat tartalmazhatnak.

A lehetséges kérdések például az adatmásolatokra, a külső adathordozókra, a fájlokkal kapcsolatos tevékenységekre vagy más technikai folyamatokra vonatkozhatnak.

A törvényszéki vizsgálat nem helyettesíti az intézkedés munkajogi vagy adatvédelmi jogi szempontból történő elfogadhatóságának felülvizsgálatát.

Számítógépes forenzika ügyvédek és bíróságok számára

A digitális adatok kulcsfontosságú szerepet játszhatnak polgári, büntető-, munkaügyi vagy gazdasági eljárásokban.

Az LB Forensik támogatást nyújt a digitális bizonyítékok technikai biztosításában, elemzésében és értékelésében.

Különbséget tesznek a technikailag ellenőrizhető tények és a szélesebb körű jogi értékelések között.

Számítógépes forenzika magánszemélyek számára

Magánszemélyek számítógépeit és adattároló eszközeit is megvizsgáltathatják.

Tipikus kérdések például a feltételezett jogosulatlan hozzáférés, adatvesztés, feltételezett manipuláció, rosszindulatú szoftverek, törölt adatok vagy a digitális bizonyítékok biztosítása jogi eljárásokhoz.

Számítógépes forenzika országszerte Németországban

Az LB Forensik országszerte támogatja a vállalatokat, ügyvédeket, hatóságokat és magánszemélyeket digitális rendszerek biztonságának biztosításában és vizsgálatában.

A körülményektől függően a biztosításra vagy nyomozásra a helyszínen vagy ellenőrzött nyomozási feltételek mellett kerülhet sor.

Regionális információk találhatók például a Stuttgarti IT forenzika , a Düsseldorfi IT forenzika és a Hannoverbeli IT forenzika címeken.

A számítógépes kriminalisztika korlátai

A professzionális számítógépes forenzika kiterjedt digitális nyomokat tárhat fel, azonban nem tud minden kérdésre választ adni.

• A törölt adatok nem mindig állíthatók vissza.
• A felülírt adatok véglegesen elveszhetnek.
• A TRIM és az SSD belső folyamatai korlátozhatják a helyreállítást.
• A titkosítás megakadályozhatja vagy akadályozhatja az adatokhoz való hozzáférést.
• Nem minden felhasználói tevékenység hagy maga után egyértelmű digitális feljegyzést.
• Egy felhasználói fiók nem feltétlenül azonos egy adott természetes személlyel.
• Az időbélyeget technikailag kell értelmezni.
• Egy tárgy hiánya nem bizonyítja automatikusan, hogy egy esemény soha nem történt meg.

Egy szakmailag megalapozott vizsgálat tehát nemcsak a talált nyomokat azonosítja, hanem azok jelentőségének korlátait is.

Gyakran ismételt kérdések a számítógépes forenzikáról

Mi a számítógépes forenzika?

A számítógépes forenzika a számítógépeken és adathordozókon található digitális nyomok strukturált biztonságba helyezését, elemzését és értékelését jelenti. A cél a rendelkezésre álló adatok alapján meghatározott események technikai rekonstrukciója.

Mely számítógépeket lehet törvényszékileg megvizsgálni?

A rendszertől és a feltett kérdéstől függően Windows PC-k, notebookok, Apple Mac rendszerek, valamint a hozzájuk tartozó merevlemezek, SSD-k és külső adathordozók is megvizsgálhatók.

Meg lehet állapítani, hogy mely fájlok lettek törölve?

Ez a fájlrendszertől, a tárolóközegtől és a későbbi felhasználástól függően történhet. Még ha a fájl tartalma nem is állítható helyre, más leletek továbbra is utalhatnak korábbi fájlok létezésére.

Visszaállíthatók a törölt fájlok?

Részben. A siker esélye nagymértékben függ az adathordozótól, a fájlrendszertől, a törlési folyamattól és a későbbi felhasználástól. Az SSD-k esetében a TRIM és a belső tisztítási folyamatok különösen korlátozhatják a helyreállítást.

Meg lehet állapítani, hogy mikor töröltek egy fájlt?

Bizonyos körülmények között különféle tárgyak utalhatnak egy törlési folyamatra vagy annak időbeli kapcsolatára. A pontos törlési idő azonban nem mindig határozható meg.

Meg lehet állapítani, hogy ki törölt egy fájlt?

A digitális nyomok összekapcsolhatják a tevékenységeket egy rendszerrel vagy felhasználói fiókkal. Ez azonban nem deríti ki automatikusan, hogy melyik természetes személy hajtotta végre a műveletet.

Meg lehet állapítani, hogy csatlakoztatva van-e USB meghajtó?

Az operációs rendszertől és az adatok állapotától függően előfordulhatnak csatlakoztatott USB-eszközök nyomai.

Meg lehet állapítani, hogy mely fájlok lettek átmásolva egy USB meghajtóra?

Ezt több adatforrás felhasználásával kell ellenőrizni. A csatlakoztatott USB-eszköz puszta jelenléte nem bizonyítja automatikusan, hogy a másolási folyamat valóban megtörtént.

Megvizsgálható egy feltört számítógép?

Igen. Jogosulatlan hozzáférés gyanúja esetén elemezhetők a meglévő rendszerek, fájlok, felhasználók, böngészők, alkalmazások és adott esetben a hálózati nyomok.

Meg lehet állapítani, hogy mikor jutott be egy hacker az adathoz?

Ha megfelelő naplók és egyéb leletek állnak rendelkezésre, akkor lehetséges leszűkíteni a potenciális hozzáférés időkeretét. A teljes rekonstrukció azonban nem mindig lehetséges.

Észlelhető a rosszindulatú program?

Ha a megfelelő műtermékek továbbra is jelen vannak, azok rosszindulatú programokra, gyanús programokra vagy szokatlan rendszerváltozásokra utalhatnak.

Meg lehet állapítani, hogy mely weboldalakat látogatták meg?

A böngészőprofilok tartalmazhatnak előzményeket, gyorsítótárat, letöltéseket és egyéb elemeket az adatállapottól függően. A privát módok, a törlések és egyéb tényezők azonban befolyásolhatják az adathelyzetet.

Visszaállíthatók a törölt böngészőadatok?

A böngészőtől, a fájlrendszertől és a tárhely állapotától függően ez részben lehetséges lehet. A teljes helyreállítás nem garantálható.

Megvizsgálhatók az e-mailek?

Igen. A helyben tárolt e-mail adatok, mellékletek és egyéb technikai információk elemezhetők a használt rendszertől függően.

Nyomon követhető a felhőalapú tevékenység egy számítógépen?

A helyi szinkronizálás és az alkalmazáshibák nyomokat adhatnak bizonyos felhőszolgáltatások használatáról. A teljes körű kiértékeléshez további felhőadatokra lehet szükség.

Meg lehet állapítani, hogy manipulálták-e a fájlokat?

Egy vizsgálat során technikai anomáliákat, metaadatokat és következetlenségeket lehet vizsgálni. Azonban nem minden változás azonosítható egyértelműen, vagy tulajdonítható egy adott személynek.

Megvizsgálható egy kikapcsolt számítógép?

Igen. A meglévő adathordozókon található nem felejtő adatokról biztonsági másolat készíthető és elemezhető, a titkosítástól, az állapottól és a technikai hozzáférhetőségtől függően.

Le kell állítani egy gyanús számítógépet?

Nem automatikusan. Egy futó rendszerben az illékony RAM-adatok vagy a korábban visszafejtett adathordozók relevánsak lehetnek. Ezért a megfelelő biztonsági mentési stratégiát lehetőség szerint minden beavatkozás előtt tisztázni kell.

Mi a RAM forenzikus vizsgálata?

A RAM forenzikus vizsgálata egy futó rendszer felejtő memóriájában található adatokat vizsgál. Ezek az adatok tartalmazhatnak információkat az aktív folyamatokról és más aktuális rendszerállapotokról.

Megvizsgálható egy titkosított merevlemez?

Ez a titkosítási módszertől, a rendszer állapotától és a meglévő hozzáférési információktól függ. A meglévő titkosítást a lehető leghamarabb figyelembe kell venni a biztonsági mentés tervezése során.

Mi az a forenzikus kép?

A forenzikus kép egy adathordozó vagy adatkészlet egy meghatározott módszerrel létrehozott biztonsági mentése, amely aztán elemzésre használható. A konkrét biztonsági mentési módszer a vizsgált objektumtól függ.

Mit jelent a Felügyeleti Lánc?

A bizonyítékok láncolata dokumentálja a bizonyítékok láncolatát. Célja, hogy nyomon követhető legyen, melyik bizonyítékot vették át, hogyan kezelték azt, és milyen adatok alapján végezték a nyomozást.

Mennyi ideig tart a számítógépes forenzika?

Az időtartam elsősorban az adatmennyiségtől, az eszközök számától, a titkosítástól, a feltett konkrét kérdésektől és a szükséges vizsgálat mélységétől függ. Ezért megbízható becslés gyakran csak a vizsgálat pontos terjedelmének ismeretében lehetséges.

Megvizsgálható egy újraindított vagy újonnan telepített számítógép?

Igen, a vizsgálat továbbra is érdemes lehet. Az alaphelyzetbe állítás, az újratelepítés és a későbbi használat azonban felülírhatja a korábbi adatokat, vagy elérhetetlenné teheti azokat. Azt, hogy milyen információkat lehet még nyerni, az adott rendszeren kell megvizsgálni.

Elegendő egy képernyőkép digitális bizonyítékként?

Egy képernyőkép dokumentálhat egy látható állapotot, de jellemzően lényegesen kevesebb technikai kontextuális információt tartalmaz, mint az alapul szolgáló eredeti adatforrás. Ezért egy alaposabb forenzikus értékeléshez az eredeti adatforrást lehetőség szerint meg kell őrizni.

Mit tegyek, ha számítógépes szakértői vizsgálatot szeretnék végeztetni?

Kerülje a rendszer szükségtelen módosításait, és dokumentálja annak aktuális állapotát. Futó vagy titkosított rendszer esetén határozza meg a legjobb megoldást a leállítás vagy bármilyen további beavatkozás elvégzése előtt.

Számítógépes forenzikai vizsgálat igénylése az LB Forensics-en keresztül

Ha egy számítógépet, notebookot, Mac-et vagy adattároló eszközt biztonsági incidens után, manipuláció vagy adatvesztés gyanúja esetén vagy jogi vitával összefüggésben kell megvizsgálni, ajánlott a lehető leghamarabb egyeztetni.

A kezdeti értékeléshez különösen fontos az eszköz típusa, az operációs rendszer, a rendelkezésre álló adathordozók, a titkosítás állapota és a konkrét kérdés.

Az LB Forensics ezután meghatározhatja, hogy mely adatforrásokat kell biztosítani, és melyik vizsgálati módszer alkalmas a bizonyítási kérdésre.

A professzionális számítógépes forenzika nem arról szól, hogy a lehető legtöbb adatot megtaláljuk. A kulcsfontosságú tényező a digitális nyomok módszeres biztosítása, technikai szempontból helyes értelmezése és nyomon követhető módon történő dokumentálása.