A számítógépes forenzika a számítógépeken és a hozzájuk tartozó adathordozókon található digitális nyomok módszeres biztonságba helyezését, vizsgálatát és értékelését jelenti. Ez magában foglalja többek között az asztali számítógépeket, notebookokat, Windows rendszereket, Mac számítógépeket, belső és külső tárolóeszközöket, valamint a programok, felhasználói fiókok, böngészők és operációs rendszerek által generált adatokat.

A hangsúly nem egyszerűen azon van, hogy mely fájlok találhatók egy számítógépen. A számítógépes forenzika inkább a technikai folyamatok nyomon követhető rekonstruálására törekszik: Mikor hozták létre, nyitották meg, módosították vagy törölték a fájlt? Milyen programokat használtak? Mely felhasználók voltak bejelentkezve? Milyen USB-eszközök voltak csatlakoztatva? Másolták, töltötték le vagy átvitték a fájlokat külső tárolóeszközökre?

A számítógépes forenzika ezért az informatikai forenzika egyik központi területe . Különös értéke abban rejlik, hogy különböző digitális nyomokat kombinál, és technikailag érthető eseménysorozatot tud rekonstruálni.

Mit is jelent pontosan a számítógépes forenzika?

A számítógépes forenzika, más néven számítógépes forenzika, a számítógépes rendszerek és adataik kriminalisztikai vizsgálatával foglalkozik.

Ez nem kizárólag a törölt fájlok helyreállításáról szól. A meglévő fájlok, a fájlrendszer-információk, a felhasználói tevékenységek, a rendszernaplók, a beállításjegyzék-adatok, a böngészőbeli összetevők, a programkövetések, a külső eszközök, a hálózati információk és számos más adatforrás is érdekes lehet.

Egy professzionális vizsgálat három területet ötvöz: a forrásadatok ellenőrzött védelmét, a megszerzett adatok technikai elemzését és az eredmények érthető értékelését.

Mely számítógépeket lehet törvényszékileg megvizsgálni?

Elvileg számos számítógépes rendszer képezheti törvényszéki vizsgálat tárgyát.

Ez magában foglalja a hagyományos asztali számítógépeket, notebookokat, munkaállomásokat és más számítógépes rendszereket. A Microsoft Windows vagy Apple macOS rendszert futtató eszközöket különösen gyakran vizsgálják.

Széles körű elterjedése és az operációs rendszer által generált számos műtermék miatt a Windows rendszerek kiterjedt elemzési lehetőségeket kínálnak. Az LB Forensics külön tárgyalja ezeket a vizsgálatokat a Windows Forensics részben.

Az Apple számítógépek saját, egyedi technikai jellemzőkkel rendelkeznek, beleértve a macOS-t, az APFS-t, a FileVault-ot és az Apple hardverarchitektúráját. Itt jön képbe a Mac forenzikusok területe.

Miért hagy egy számítógép annyi digitális nyomot?

Egy operációs rendszernek folyamatosan kezelnie kell az információkat ahhoz, hogy a számítógép működjön. Programok indulnak el, fájlok nyílnak meg, felhasználók jelentkeznek be, tárolóeszközök csatlakoznak, és hálózati kapcsolatok jönnek létre.

Ezen folyamatok közül sok technikai jellegű hibákat okoz.

Például egy felhasználó megnyithat egy dokumentumot. Magán a fájlon kívül ez további nyomkövetéseket is létrehozhat: bejegyzéseket a legutóbb használt fájlokról, ideiglenes fájlokról, parancsikonokról, programinformációkról vagy fájlrendszer időbélyegekről.

A forenzikus érték gyakran pontosan ezekből a közvetett nyomokból fakad.

Milyen adatokat lehet vizsgálni számítógépes forenzika során?

A potenciális adatmennyiség jelentős, és függ az operációs rendszertől, a telepített alkalmazásoktól, a számítógép használatától és a konkrét kérdéstől.

A vizsgálható adatok például a dokumentumok, képek, videók, archívumok, e-mailek, böngészési adatok, letöltések, felhasználói fiókok, rendszernaplók, programkövetések, fájl metaadatok, ideiglenes fájlok, a lomtár tartalma és a törölt adatok.

Egyéb releváns források lehetnek az USB-eszközökkel, külső merevlemezekkel, hálózati kapcsolatokkal, felhőalkalmazásokkal, valamint a telepített vagy eltávolított programokkal kapcsolatos információk.

Miért kezdődik a számítógépes forenzika egy kérdés feltevésével?

Egy modern számítógép több millió fájlt és hatalmas mennyiségű technikai metaadatot képes tárolni. Ezért ezen adatok válogatás nélküli elemzése sem technikailag, sem gazdaságilag nem megalapozott.

Egy konkrét kutatási kérdéssel kell kezdeni.

Példák többek között: Másoltak-e le bizonyos céges adatokat? Mikor töröltek egy fájlt? Csatlakoztattak-e egy adott USB-meghajtót? Milyen tevékenységek történtek, mielőtt egy alkalmazott elhagyta a céget? Hajtottak-e végre rosszindulatú programot? Vagy van-e bármilyen bizonyíték jogosulatlan hozzáférésre?

A feltett kérdés jelzi, hogy mely adatforrásokat kell prioritásként kezelni a vizsgálat során.

Miért nem vizsgáljuk meg közvetlenül a számítógépet?

A bizonyítékokhoz kapcsolódó eredeti rendszeren végzett közvetlen munka új adatokat generálhat és megváltoztathatja a meglévő információkat.

Már egy operációs rendszer normál indításakor is számos írási művelet történik. A naplók frissülnek, ideiglenes fájlok jönnek létre, és az időbélyegek módosulnak.

Ezért megfelelő kezdeti helyzetekben először egy forenzikus adatmentést készítenek.

A megfelelő biztonsági mentési módszer a rendszertől függ. Egy kikapcsolt számítógép, amelyhez hozzáférhető, titkosítatlan adathordozó tartozik, más kiindulópontot jelent, mint egy működő, titkosított számítógép.

Mi az a számítógép forenzikus képe?

A forenzikus kép egy adathordozó vagy egy meghatározott adatkészlet ellenőrzött biztonsági mentése, amely aztán a vizsgálat alapjául szolgálhat.

A hagyományos adathordozók esetében a szektoronkénti biztonsági mentés nemcsak a látható fájlokat képes rögzíteni, hanem a fájlrendszer-struktúrákat, a nem kiosztott területeket és egyéb információkat is.

Ez lehetővé teszi olyan adatok vizsgálatát, amelyeket egy normál másolási művelet során a Fájlkezelő segítségével nem rögzítenénk.

Mi a különbség egy normál másolat és egy forenzikus biztonsági mentés között?

Amikor egy mappát a számítógépről külső merevlemezre másolunk, általában csak a látható, kiválasztott fájlokról készítünk biztonsági másolatot.

Egy igazságügyi szakértői vizsgálathoz azonban az ezeken a fájlokon kívüli információk is relevánsak lehetnek.

Ez magában foglalja például a fájlrendszer metaadatait, a törölt könyvtárbejegyzéseket, a nem kiosztott tárhelyeket vagy más technikai struktúrákat.

Egy normál fájlmásolat és egy forenzikus lemezkép tehát különböző célokat szolgál.

Milyen szerepet játszanak a hash értékek?

A hash értékek segítségével matematikailag jellemezhetők egy digitális adathalmaz, és észlelhetők a későbbi változások.

Például, ha egy forenzikus képfájl készül, a biztosított adatok kriptográfiai hash-értéke dokumentálható. Ha később ugyanazt a hash-értéket számítják ki, és egyezik, az arra utal, hogy a szóban forgó adatok változatlanok maradtak a számítások között.

A „Hash érték a digitális forenzikában” című cikk elmagyarázza, hogyan használják a hashelési módszereket a digitális forenzikában.

Egy hash érték bizonyítja, hogy a biztonsági mentés elkészült?

Nem. Különbséget kell tenni az integritás és a teljesség között.

Egy hash értékkel ellenőrizhető annak a pontos adathalmaznak az integritása, amelyből kiszámították.

Ez azonban nem bizonyítja automatikusan, hogy az összes elméletileg elérhető információt rögzítették az eredeti adatgyűjtés során.

Ezért azt is pontosan dokumentálni kell, hogy mit és milyen módszerrel biztosítottak.

Mi a szerepe az írásblokkolónak?

Megfelelő adathordozók forenzikus biztosításakor egy hardveres vagy szoftveres írásblokkoló megakadályozhatja, hogy a vizsgálórendszer írási parancsokat küldjön a forrás adathordozónak.

Ez különösen fontos a hagyományos adathordozó-vizsgálatoknál, mivel el kell kerülni az eredeti nem szándékos megváltoztatását.

Az írásblokkoló azonban nem univerzális eszköz minden elképzelhető számítási helyzetben. Futó rendszerekben vagy bizonyos modern tárolási és titkosítási architektúrákban más adatgyűjtési módszerekre is szükség lehet.

Milyen szerepet játszik a felügyeleti lánc?

A bizonyítékokkal kapcsolatos nyomozásokban nem elegendő kizárólag a technikai adatokat elemezni.

Világosan dokumentálni kell, hogy melyik eszközt vették át, mikor történt ez, milyen állapotban volt, milyen biztonsági mentés készült, és hogyan kezelték ezt követően az adatokat.

Ez a bizonyítéklánc köti össze a fizikai forráseszközt a később vizsgált adathalmazzal.

Mit vizsgálnak egy Windowsos PC-n?

A Windows nagyszámú, forenzikus szempontból releváns adatforrást generál.

Ez magában foglalja többek között az eseménynaplókat, a beállításjegyzék-struktúrákat, a fájlrendszer-információkat, a parancsikonokat, a legutóbb használt fájlokra vonatkozó információkat, a böngészőadatokat, a felhasználói profilokat és a csatlakoztatott eszközök nyomkövetését.

A feltett kérdéstől függően ezek a források kombinálhatók a felhasználói és rendszertevékenységek rekonstruálásához.

Mi az a Windows rendszerleíró adatbázis?

A Windows rendszerleíró adatbázis az operációs rendszer központi konfigurációs adatbázisa.

Információkat tartalmaz a rendszerkonfigurációkról, a felhasználói beállításokról, a programokról és számos egyéb funkcióról.

Számítógépes forenzika esetén bizonyos beállításjegyzékbeli területek nyomokat adhatnak a felhasználói tevékenységről, a csatlakoztatott eszközökről vagy a telepített szoftverekről.

Azonban az, hogy egy beállításjegyzékbeli bejegyzés valójában milyen információkat tesz lehetővé, az adott funkciójától függ.

Mi a jelentősége a Windows eseménynaplóknak?

A Windows számos rendszer- és biztonsági eseményt naplóz.

A konfigurációtól és az adatmegőrzéstől függően az eseménynaplók tartalmazhatnak információkat például bejelentkezésekről, rendszerindításokról, hibákról, szolgáltatásokról vagy biztonsági eseményekről.

Nem minden esemény kerül automatikusan naplózásra, és a naplók korlátozhatók, felülírhatók vagy törölhetők. Ezért egy adott bejegyzés hiánya nem feltétlenül bizonyítja, hogy az esemény soha nem történt meg.

Rekonstruálhatók a felhasználói bejelentkezések?

Megfelelő körülmények között a különféle rendszerösszetevők nyomokat adhatnak arra vonatkozóan, hogy mikor történt a felhasználói fiókokba való bejelentkezés.

A megbízható értékelés érdekében azonban különbséget kell tenni a felhasználói fiók és a ténylegesen cselekvő természetes személy között.

Egy bejelentkezett fiók kezdetben mutatja, hogy technikailag melyik fiókot használták. Ez azonban nem deríti ki automatikusan és egyértelműen, hogy ki ült a számítógép előtt.

Rekonstruálható a felhasználói aktivitás?

Bizonyos esetekben a tevékenységek nagy részletességgel rekonstruálhatók.

A releváns adatok például a megnyitott fájlok, az elindított programok, a böngészési tevékenységek, a letöltések, a külső tárolóeszközök és egyéb rendszeresemények.

Azonban általában nem létezik teljes, megszakítás nélküli feljegyzés minden felhasználói műveletről.

A számítógépes forenzika tehát a ténylegesen jelen lévő nyomokból rekonstruálja az eseményeket.

Lehet azonosítani a nemrég megnyitott fájlokat?

A Windows és a különféle alkalmazások a legutóbb használt fájlokkal kapcsolatos hibákat generálnak.

Az ilyen információk nagyon értékesek lehetnek a felhasználói aktivitás rekonstruálásában.

Egy bejegyzést azonban technikai szempontból helyesen kell értelmezni. A műterméktől függően utalhat például megnyitásra, kiválasztásra, hozzáférésre vagy más interakcióra.

Meg lehet állapítani, hogy mikor jött létre egy fájl?

A fájlrendszerek különféle időbélyegeket tárolnak a fájlokkal és könyvtárakkal kapcsolatban.

Ezek nyomokat adhatnak a létrehozási és módosítási időkről.

Az értelmezés azonban nem mindig egyértelmű. A másolási folyamatok, a szinkronizálás, a visszaállítás vagy a szoftverek megváltoztathatják az időbélyegeket.

Ezért egyetlen fájl időbélyegét nem szabad kontextus nélkül a létrehozás megcáfolhatatlan időpontjának tekinteni.

Meg lehet állapítani, hogy mikor nyitottak meg egy fájlt?

Ez az operációs rendszertől, a fájlrendszertől, a használt programtól és a meglévő elemektől függ.

A számítógép közvetett nyomokat hagyhat a fájlhasználatról, például a legutóbb használt fájlokon, parancsikonokon vagy alkalmazásspecifikus adatokon keresztül.

Azonban nem minden fájlhoz létezik teljes és véglegesen tárolt megnyitási előzmény.

Meg lehet állapítani, hogy mikor módosítottak egy fájlt?

A fájlrendszer metaadatai tartalmazhatnak módosítási időbélyeget.

Ezt az értéket azonban helyesen kell értelmezni. A különböző műveletek különböző időmezőket befolyásolhatnak.

Ezért, amikor csak lehetséges, további tárgyakat kell felhasználni a fontos megállapítások megtételéhez.

Meg lehet állapítani, hogy mikor töröltek egy fájlt?

Bizonyos körülmények között a fájlrendszer és más rendszerösszetevők nyomokat adhatnak a törlési folyamatokról.

A pontos törlési idő azonban nem áll azonnal rendelkezésre minden fájlrendszerhez és minden kezdeti helyzethez.

Windowsban például a Lomtár struktúrái további információkat tartalmazhatnak, ha a fájlt a Lomtáron keresztül törölték, és a megfelelő metaadatok továbbra is jelen vannak.

Visszaállíthatók a törölt fájlok?

Igen, bizonyos feltételek mellett.

A hagyományos mágneses merevlemezek esetében a törölt adatok továbbra is jelen lehetnek a nem kiosztott tárolóterületeken, feltéve, hogy ezeket a területeket nem írták felül.

Az SSD-k esetében a helyzet bonyolultabb. Az olyan funkciók, mint a TRIM és a belső memória tisztítása, azt jelenthetik, hogy a törölt adatok sokkal gyorsabban helyreállíthatatlanná válnak.

Ezért bárki, aki adatokat szeretne helyreállítani, kerülje az érintett rendszer szükségtelen használatát. Az LB Forensics ezt a témát is tárgyalja az Adatmentés címszó alatt.

Miért különböznek a HDD-k és az SSD-k a kriminalisztikai szempontból?

A mágneses merevlemezek és a szilárdtestalapú meghajtók technikailag eltérő módon kezelik az adatokat.

Egy hagyományos merevlemezen egy fájl törlése kezdetben csak azt eredményezheti, hogy a fájlrendszer a tárhelyeit ismét elérhetőként jelöli meg.

Az SSD-k ezzel szemben flash memóriát, vezérlőket és belső felügyeleti mechanizmusokat használnak. A TRIM meg tudja mondani a meghajtónak, hogy mely blokkokra van már szüksége a fájlrendszernek.

Ez jelentősen módosítja a törölt adatok helyreállításának lehetőségeit.

Milyen szerepet játszik a titkosítás?

A titkosítás jelentősen befolyásolhatja a forenzikus hozzáférést.

A Windows rendszerek például BitLockerrel védhetők. A FileVault Mac gépeken is használható.

Ha egy adathordozó teljesen titkosított, és nem állnak rendelkezésre megfelelő hozzáférési lehetőségek, egy fizikai biztonsági mentés képes lehet titkosított adatok rögzítésére, de a tartalma nem elemezhető könnyen.

A rendszer állapota az átvételkor ezért döntő fontosságú lehet.

Miért lehet egy működő számítógép értékes igazságügyi bizonyíték?

Egy bekapcsolt számítógép olyan információkat tartalmazhat, amelyek a kikapcsolás után már nem állnak rendelkezésre ugyanabban a formában.

Ez magában foglalhatja például a visszafejtett adathordozókat, az aktív felhasználói munkameneteket, a futó folyamatokat, a hálózati kapcsolatokat vagy a memóriában tárolt illékony adatokat.

Egy reflexív leállás az ilyen információk elvesztéséhez vezethet.

Azonnal ki kell kapcsolni egy gyanús számítógépet?

Nincs univerzálisan érvényes válasz.

Egy futó titkosított rendszer leállítása jelentősen akadályozhatja a későbbi hozzáférést. Aktív kibertámadás esetén azonban egy működőképes rendszer lehetővé teheti a további kommunikációt vagy módosításokat.

A megfelelő intézkedés tehát az incidenstől, a rendszer állapotától és a vizsgálat céljától függ.

Mi az élő forenzika?

Az élő forenzika egy futó rendszerből származó konkrét információk vizsgálatát vagy megszerzését jelenti.

Ez magában foglalhatja például a munkamemóriát, a futó folyamatokat, az aktív hálózati kapcsolatokat, a bejelentkezett felhasználókat vagy a csatlakoztatott titkosított adathordozókra vonatkozó információkat.

A klasszikus offline forenzikus módszerrel szembeni fő különbség az, hogy a munka egy futó rendszeren történik, ami elkerülhetetlenül bizonyos állapotváltozásokhoz vezet.

Mi az offline forenzika?

Az offline vizsgálat egy nem futó rendszer vagy egy biztonságos adathordozó elemzését foglalja magában.

Ez lehetővé teszi a kontrollált vizsgálatot anélkül, hogy az eredeti operációs rendszer folyamatosan új adatokat generálna az elemzés során.

Ezért, ahol technikailag lehetséges, az elemzéseket lehetőleg forenzikusan biztosított adatkészleteken végzik.

Mi a RAM forenzikus vizsgálata?

Egy működő számítógép fő memóriája olyan illékony információkat tartalmazhat, amelyek nincsenek jelen az adathordozón, vagy nem ugyanabban a formában vannak jelen.

Ez magában foglalhatja a folyamatban lévő folyamatokat, a hálózati állapotokat és egyéb ideiglenes információkat.

Amikor egy számítógépet kikapcsolnak, a RAM tartalma általában elvész. Ezért egy RAM biztonsági mentés hasznos lehet bizonyos biztonsági incidensek esetén.

Felismerhetők az USB-kulcsok?

A Windows rendszerek különféle információkat hagyhatnak maguk után a csatlakoztatott USB-eszközökről.

Az eszköztől és az adatkészlettől függően olyan információk is megjelenhetnek, mint a gyártó adatai, termékazonosítók, sorozatszámok vagy időhivatkozások.

Ez bizonyos körülmények között lehetővé teszi annak rekonstruálását, hogy egy adott USB-eszköz csatlakoztatva volt a számítógéphez.

Meg lehet állapítani, hogy melyik USB meghajtót használták?

Egyes USB-tárolóeszközök egyedi vagy legalábbis megkülönböztethető eszközinformációkat tartalmazhatnak.

Ez lehetővé teheti egy adott adathordozó összekapcsolását a vizsgált számítógépen található nyomkövetésekkel.

A pontos azonosíthatóság azonban az eszköztől és a tárolt rendszerinformációktól függ.

Meg lehet állapítani, hogy mely fájlok lettek átmásolva egy USB meghajtóra?

Ez egy összetettebb kérdés, mint egyszerűen bizonyítani, hogy egy USB-eszköz csatlakoztatva van.

A Windows nem vezet automatikusan teljes, módosíthatatlan naplót az összes fájlmásolási műveletről.

Megfelelő körülmények között azonban a fájlrendszer-információk, a legutóbb használt fájlok, a parancsikonok, az időbélyegek és más elemek összefüggésbe hozhatók.

Ez lehetővé teheti egy másolási folyamat technikai támogatását vagy rekonstruálását.

Felismerhető a külső merevlemez?

A külső USB merevlemezek és SSD-k is nyomokat hagyhatnak az operációs rendszerben.

A vizsgálat tehát magában foglalhatja mind a számítógépet, mind a szóban forgó külső adattároló eszközt.

Ha mindkét rendszer elérhető, az iratállományok, a metaadatok és az időinformációk összehasonlíthatók.

Nyomon követhetők a fájlmásolási műveletek?

Igen, bizonyos feltételek mellett.

A bizonyíték akkor válik meggyőzőbbé, ha több független nyom egyezik. Egy csatlakoztatott tárolóeszköz, az egyező fájlnevek, a megfelelő időbélyegek és más rendszerleírások együttesen lényegesen erősebb képet adhatnak, mint egyetlen lelet.

A teljes másolási előzmények azonban nem feltétlenül léteznek.

Meg lehet állapítani, hogy a fájlok át lettek-e másolva egy felhőbe?

A felhőalkalmazások helyi nyomokat hagyhatnak, például szinkronizált könyvtárakat, programkonfigurációkat, gyorsítótárfájlokat vagy naplóinformációkat.

Az, hogy egy adott feltöltés bizonyítható-e, a használt szolgáltatástól és a még elérhető adatoktól függ.

Bizonyos kérdések esetén szükségessé válhat az adott felhőfiók további vizsgálata.

Meg lehet vizsgálni az e-maileket számítógépen?

Igen. Az e-mail adatok tárolhatók helyben e-mail programokban, böngészőadatokban, mellékletekben, gyorsítótár-területeken vagy más tárolási struktúrákban.

A kérdéstől függően az üzenet tartalma, a fejlécinformációk, a mellékletek és az időinformációk lehetnek relevánsak.

A felhőalapú e-mail rendszerekben különbséget kell tenni a helyben elérhető összetevők és a szerveroldali adatok között.

Elemezhető a böngészőtevékenység?

A böngészők a számítógépes forenzika legfontosabb adatforrásai közé tartoznak.

A böngészőtől és a konfigurációtól függően előfordulhatnak előzmények, letöltések, sütik, gyorsítótár, munkamenet-információk és egyéb adatok.

Ez az információ segíthet a meglátogatott webhelyek, letöltések vagy idővonalak rekonstruálásában.

Észlelhető az inkognitó vagy privát mód?

A privát böngészési módok csökkentik bizonyos információk tárolását az adott böngészőben.

Azonban ezek nem jelentik automatikusan azt, hogy semmilyen műszaki nyom nem maradhat a teljes rendszeren.

Más rendszerösszetevők, hálózati szolgáltatások vagy külső rendszerek önállóan is generálhatnak információkat.

Az, hogy egy adott privát böngészési tevékenység utólag bizonyítható-e, a rendelkezésre álló adatforrásoktól függ.

Nyomon követhetők a letöltések?

A letöltések nyomokat hagyhatnak a böngészőben, a fájlrendszerben, a letöltési könyvtárban és esetleg más rendszerösszetevőkben.

Még ha egy letöltött fájlt később törölnek is, bizonyos körülmények között a letöltés nyomai továbbra is jelen lehetnek.

Észlelik a telepített programokat?

Igen. Az operációs rendszerek és az alkalmazások sok információt hagynak maguk után a telepített szoftverekről.

Windows alatt például a beállításjegyzékbeli bejegyzések, a programkönyvtárak, a telepítőadatok és más rendszerösszetevők lehetnek relevánsak.

A pontos bizonyíték attól függ, hogy milyen információk állnak még rendelkezésre.

Észlelik-e a telepítetlen programokat?

Igen, bizonyos feltételek mellett.

Egy alkalmazás eltávolítása nem feltétlenül távolítja el az összes nyomot. Könyvtárak, konfigurációs adatok, naplók vagy egyéb rendszerinformációk maradhatnak meg.

Az ilyen műtermékek jelenlétét azonban szakszerűen kell felmérni, mivel a maradvány mennyiség nem bizonyítja automatikusan, hogy mikor vagy mennyi ideig használták a programot.

Észlelhetők-e kártevők egy számítógépen?

Igen. Kártevő gyanúja esetén megvizsgálhatók a fájlok, folyamatok, automatikus indítási mechanizmusok, rendszerváltozások, hálózati nyomkövetések és egyéb jelzők.

Egy ilyen vizsgálat túlmutat egy átlagos víruskeresésen.

Például releváns lehet, hogy mikor került be egy gyanús fájl a rendszerbe, hogy végrehajtották-e, milyen változásokat okozott, és hogy más rendszereket is érinthetett-e.

Rekonstruálható-e a jogosulatlan hozzáférés?

Megfelelő körülmények között a bejelentkezési események, a rendszernaplók, a hálózati adatok, a felhasználói tevékenységek és egyéb tárgyak bizonyítékot szolgáltathatnak a jogosulatlan hozzáférésre.

A megállapítások jelentősége nagymértékben függ attól, hogy milyen naplózás történt, és milyen adatok állnak még rendelkezésre.

Egy IP-cím vagy egyetlen bejelentkezési bejegyzés önmagában nem feltétlenül azonosít egy adott természetes személyt.

Milyen szerepet játszanak a fájl metaadatai?

A fájlok a látható tartalmuk mellett gyakran tartalmaznak technikai metaadatokat is.

Ez tartalmazhat fájlrendszer időbélyegeket, méretinformációkat és a fájlformátumtól függően további belső metaadatokat.

Az Office dokumentumok, képek, PDF fájlok és más formátumok mindegyike tartalmazhat saját információkat.

A metaadatok értékes információkat szolgáltatnak, de kritikusan kell értelmezni őket, mivel időnként megváltozhatnak.

Észlelhetők a manipulált időbélyegek?

Bizonyos körülmények között eltérések azonosíthatók.

A gyanús időbélyeget nem önmagában vizsgáljuk. Összehasonlítható fájlrendszer-információkkal, alkalmazás-összetevőkkel, naplóadatokkal és más eseményekkel.

Ha több független adatforrás ellentmond egymásnak, az változásra utalhat.

Mi az idővonal-elemzés?

Az idővonal-elemzés során a különböző adatforrásokból származó időinformációkat kombinálják.

Ez lehetővé teszi például annak rekonstruálását, hogy mely események történtek közvetlenül egy adott folyamat előtt vagy után.

Egy ilyen idővonal összekapcsolhatja a fájlrendszer eseményeit, a felhasználói tevékenységeket, a programhasználatot, a böngésző adatait és a rendszernaplókat.

Különösen értékes akkor, ha nem csupán egyetlen lelet, hanem egy egész folyamat vizsgálata a cél.

Miért olyan fontos a többszörös nyomkövetések korrelációja?

Egyetlen digitális műtárgynak gyakran csak korlátozott magyarázó ereje van.

Egy USB-bejegyzés jelezheti, hogy egy eszköz csatlakoztatva volt. Egy fájlmegjegyzés azt mutathatja, hogy egy dokumentumot használtak. Egy időbélyeg időbeli kontextust biztosíthat.

Amikor több technikailag független adatforrás ugyanazt az eseménysorozatot támasztja alá, a rekonstrukció jelentősen megbízhatóbbá válik.

Nyomozhat-e a számítógépes forenzika az adatlopást?

Igen. Különösen a vállalatokon belüli gyanús esetekben a számítógépes forenzika központi szerepet játszhat.

A vizsgálható adatok például az USB-eszközök, külső adathordozók, felhőalkalmazások, e-mail tevékenységek, fájlhozzáférések és egyéb technikai nyomok.

A bizalmas fájlok számítógépen való puszta megléte azonban nem bizonyítja az adatlopást. A legfontosabb az adatszivárgás lehetséges útjának rekonstruálása.

Rekonstruálhatja-e a számítógépes forenzika a korábbi alkalmazottak tevékenységét?

Megfelelő körülmények között a munkavállaló cégtől való távozása előtti időszakból származó tevékenységek is kivizsgálhatók.

Különösen relevánsak a fájlhozzáférések, a külső adathordozók, a felhőszolgáltatások, a böngészőtevékenységek, az e-mailek, a törlési folyamatok és a telepített programok.

Minél előbb biztosítják az érintett eszközt, annál kisebb a kockázata annak, hogy a releváns nyomok megváltoznak vagy felülíródnak a további használat során.

A számítógépes forenzika bizonyíthatja-e, hogy ki követett el egy cselekményt?

Ez gyakran nehezebb, mint maga a cselekvés technikai bizonyítása.

Például egy számítógép kimutathatja, hogy egy adott felhasználói fiók alatt tevékenység történt. Ez nem jelenti automatikusan azt, hogy csak a fiók tulajdonosa személyesen cselekedett.

Ezért egy személyre szabott megbízás esetén további technikai és tényszerű körülményeket is figyelembe kell venni.

Mi a különbség a számítógépes forenzika és az adatmentés között?

Az adatmentés elsősorban az elveszett vagy törölt adatok újbóli hozzáférhetővé tételére összpontosít.

A számítógépes forenzika további kérdéseket vet fel: Honnan származik egy fájl? Mikor hozták létre vagy módosították? Milyen egyéb rendszernyomok kapcsolódnak hozzá? Megbízhatóan vannak-e biztonsági másolatok az adatokról? Milyen következtetéseket lehet levonni technikai szempontból?

Ezért egy helyreállított fájl nem automatikusan a végső eredmény egy igazságügyi nyomozásban.

Mi a különbség a számítógépes forenzika és az IT-biztonság között?

Az IT biztonság célja többek között a rendszerek védelme a támadások, az adatvesztés és a jogosulatlan hozzáférés ellen.

A számítógépes forenzika ezzel szemben a meglévő digitális nyomokat vizsgálja, gyakran egy adott esemény vagy gyanú felmerülése után.

Mindkét terület átfedésben van a biztonsági incidensek tekintetében, de eltérő alapvető feladatokat látnak el.

Milyen szerepet játszik a számítógépes forenzika a kibertámadásokban?

Kibertámadást követően a számítógépes rendszerek fontos információkat tartalmazhatnak az incidensről.

A lehetséges kérdések többek között a következők lehetnek: Hogyan férhetett hozzá a támadó a rendszerhez? Mely felhasználói fiókokat használták? Milyen rosszindulatú programot futtattak le? Milyen adatokat módosíthattak vagy továbbíthattak?

Itt az adathordozó-forenzika, a memóriaelemzés, a naplóelemzés és a hálózati adatok együttesen válhatnak relevánssá.

Mit kell egy vállalatnak kerülnie gyanús esetben?

Egy potenciálisan releváns eszközt nem szabad szükségtelenül használni.

Ugyanilyen problémás lehet először saját kezűleg átnézni a fájlokat, programokat telepíteni, felhasználói fiókokat módosítani, vagy feltételezhetően gyanús adatokat törölni.

Az ilyen intézkedések pontosan azokat a nyomokat módosíthatják, amelyekre később szükség lesz a rekonstrukcióhoz.

Mire kell figyelni kikapcsolt bizonyítékkezelő számítógép használatakor?

Ha egy adott számítógép már ki van kapcsolva, akkor nem szabad újraindítani a szokásos módon csak a fájljainak megtekintése érdekében.

A rendszeres rendszerindítás új operációsrendszer-tevékenységeket generál, és módosíthatja a meglévő nyomkövetéseket.

Ezért a megfelelő biztonsági mentési módszert a következő indítás előtt meg kell határozni.

Mire kell figyelni, ha bizonyítási célból használunk számítógépet?

A működő számítógépet sem szabad reflexből kezelni vagy kikapcsolni.

Különösen titkosítás vagy folyamatban lévő biztonsági incidens esetén lehetnek relevánsak a változékony információk.

Az élő biztonsági mentés, az elkülönítés és a szabályozott leállítás közötti döntést az adott eset alapján kell meghozni.

Mi a tipikus eljárás egy számítógépes kriminalisztikai vizsgálat során?

Először is, a kutatási kérdést meghatározzák, és dokumentálják a vizsgált rendszert.

A következő lépés, az eszköz állapotától függően, annak meghatározása, hogy mely adatokról kell először biztonsági mentést készíteni. Kikapcsolt rendszerek esetén ez magában foglalhatja a forenzikus adatmentést is. Futó rendszerek esetén az illékony adatok is relevánsak lehetnek.

A biztonsági mentés után az adatokat a kutatási kérdés alapján feldolgozzák és elemzik.

A releváns műtermékeket áttekintik, időrendi sorrendbe helyezik, és összehasonlítják más adatforrásokkal. Csak ezután kerül sor a szakértői értékelésre.

Miért fontos a nyomozás dokumentálása?

Egy későbbi értékelésnek képesnek kell lennie nyomon követni, hogy melyik rendszert vizsgálták meg, mely adatokat biztosították, és milyen alapon értek el eredményt.

Ez magában foglalja például az eszközinformációkat, a biztonsági mentési módszert, a használt adatkészleteket, az integritási ellenőrzéseket és a vonatkozó vizsgálati lépéseket.

Különösen a potenciális jogi vitákban fontosabb egy érthető módszertan, mint pusztán képernyőképek vagy keresési eredmények gyűjteménye.

Mit nem tud a számítógépes forenzika?

A számítógépes forenzika nem tud olyan információkat előállítani, amelyek már nem léteznek, vagy technikailag hozzáférhetetlenek.

Nem tud automatikusan minden egyes műszaki megállapításból egy adott személyre, motivációra vagy szándékra következtetni.

Egy csatlakoztatott USB-meghajtó nem bizonyítja automatikusan, hogy fájlok másolásra kerültek. Egy meglévő fájl nem bizonyítja automatikusan a forrását. Egy felhasználói fiók nem azonosítja egyértelműen az adott helyzetben cselekvő személyt.

Ezért egy megállapítás korlátai a szakmailag megalapozott értékelés részét képezik.

Gyakorlati példa: Adatmásolás gyanúja a megszüntetés előtt

Egy céget azzal gyanúsítanak, hogy bizalmas dokumentumokat másolt le röviddel azelőtt, hogy elhagyta a céget.

Egy számítógépes kriminalisztikai vizsgálat először is meg tudja állapítani, hogy mely külső tárolóeszközök voltak csatlakoztatva a releváns időszakban.

Ezt követően megvizsgálhatók a fájlhozzáférések, a nemrég használt dokumentumok, az időbélyegek, a felhőalkalmazások és egyéb elemek.

Például, ha a releváns időszakban találnak egy külső adathordozót, és vannak egyező fájl- és használati nyomok is, ez lényegesen erősebb technikai kapcsolatot eredményezhet, mint egyetlen USB-bejegyzés.

Gyakorlati példa: Törölt fájlok

Fontos fájlok hiányoznak a számítógépről. Először is meg kell állapítani, hogy milyen típusú tárolóeszközt használ, és hogy például HDD-ről vagy SSD-ről van-e szó.

Ezt követően megvizsgálhatók a fájlrendszer-struktúrák, a lomtár adatai és más műtermékek.

Az eredmény lehet a fájlok helyreállítása, korábbi létezésük közvetett bizonyítéka, vagy annak megállapítása, hogy nem maradtak használható adatok.

Gyakorlati példa: Jogosulatlan hozzáférés

Egy cég gyanítja, hogy egy ismeretlen személy hozzáfért egy számítógéphez.

A vizsgálat összehasonlíthatja a bejelentkezési hitelesítő adatokat, az eseménynaplókat, a felhasználói tevékenységeket, a programokat és egyéb technikai nyomokat.

Egyetlen szokatlan bejelentkezés kezdetben csak egy felfedezés. Csak további rendszeresemények elemzésével állapítható meg, hogy ez technikailag hihető támadási útvonalhoz vezet-e.

Gyakorlati példa: manipulált dokumentum

Vita folyik arról, hogy egy dokumentum mikor készült vagy módosult valójában.

Egy vizsgálatnak nem csak a látható fájl időbélyegét kell vizsgálnia.

Ezenkívül a belső dokumentum metaadatok, a fájlrendszer-információk, a biztonsági másolatok, a legutóbb használt fájlok és más kapcsolódó elemek is kiértékelhetők.

Csak különböző adatforrások összehasonlításával lehet megbízhatóbb értékelést adni.

Gyakran ismételt kérdések a számítógépes forenzikáról

Mit jelent egyszerűen a számítógépes forenzika?

A számítógépes forenzika a számítógépeken található digitális nyomok módszeres biztosítása és vizsgálata. A cél a technikai folyamatok lehető legátláthatóbb rekonstruálása és a releváns adatok professzionális értékelése.

Ugyanaz a számítógépes forenzika, mint az informatikai forenzika?

A számítógépes forenzika az IT forenzika egyik kulcsfontosságú részterülete . Az IT forenzika magában foglalhatja például az okostelefonokat, szervereket, felhőrendszereket és más digitális adatforrásokat is.

Milyen számítógépeket lehet vizsgálni?

Többek között Windowsos PC-k, notebookok, munkaállomások és Mac számítógépek is vizsgálhatók forenzikus módon. A konkrét módszer a hardvertől, az operációs rendszertől, a tárolási technológiától és a titkosítástól függ.

Milyen adatokat lehet vizsgálni egy számítógépen?

A rendszertől függően fájlok, törölt adatok, böngészőinformációk, felhasználói tevékenységek, rendszernaplók, USB-nyomkövetések, programok, e-mailek és számos egyéb tárgy vizsgálható.

Visszaállíthatók a törölt fájlok?

Igen, bizonyos feltételek mellett. A lehetőségek különösen az adathordozótól, a fájlrendszertől, a felülírástól és SSD-k esetén az olyan funkcióktól függenek, mint a TRIM.

Vissza lehet állítani az adatokat egy SSD-ről?

Részben. SSD-k esetén a TRIM és a belső memória kiürítése jelentősen megnehezítheti vagy megakadályozhatja a törölt adatok helyreállítását.

Meg lehet állapítani, hogy mikor töröltek egy fájlt?

Bizonyos körülmények között a fájlrendszer vagy más rendszerösszetevők nyomokat adhatnak a törlés időpontjáról. A pontos időpont azonban nem mindig áll rendelkezésre.

Meg lehet állapítani, hogy mikor nyitottak meg egy fájlt?

Az operációs rendszertől és a meglévő elemektől függően lehetnek utalások a fájlhasználatra. Azonban általában nem létezik minden fájl teljes megnyitási előzménye.

Meg lehet állapítani, hogy mikor lett másolva egy fájl?

Előfordul, hogy egy másolási művelet több technikai nyomkövetés segítségével rekonstruálható. A Windows azonban nem vezet automatikusan teljes naplót az összes fájlmásolatról.

Nyomon követhető egy USB-meghajtó?

Igen. A Windows különféle információkat tud tárolni a csatlakoztatott USB-eszközökről, amelyek bizonyos feltételek mellett lehetővé tehetik az azonosítást.

Meg lehet állapítani, hogy mely fájlok lettek átmásolva egy USB meghajtóra?

Megfelelő körülmények között több műtermék is támogathat egy másolási műveletet. Teljes automatikus másolási előzmények azonban nem léteznek.

Felismerhető a külső merevlemez?

Igen. A külső merevlemezek és SSD-k is hagyhatnak megfelelő eszköz- és használati nyomokat az operációs rendszerben.

Rekonstruálható a böngészőtevékenység?

A böngészőtől függően előfordulhatnak előzmények, letöltések, sütik, gyorsítótár és egyéb információk.

Visszaállíthatók a törölt böngészőadatok?

Bizonyos körülmények között továbbra is jelen lehetnek adatbázis-maradványok, gyorsítótár-tartalom vagy egyéb nyomok. A teljes helyreállítás nem garantált.

Észlelhető az inkognitómód használata?

A privát böngészőmódok csökkentik bizonyos helyi böngészőnaplókat. Más rendszer- vagy infrastruktúra-összetevők azonban továbbra is generálhatnak nyomokat. Az, hogy egy adott esemény észlelhető-e, a rendelkezésre álló adatoktól függ.

Észlelik a telepített programokat?

Igen. Az operációs rendszerek különféle információkat tárolnak a telepített szoftverekről.

Észlelik-e a telepítetlen programokat?

Bizonyos körülmények között a programkönyvtárak, beállításjegyzékbeli bejegyzések, naplók vagy egyéb összetevők az eltávolítás után is jelen lehetnek.

Nyomon követhetők a Windows bejelentkezések?

A rendelkezésre álló naplózástól függően a bejelentkezési események és egyéb rendszerinformációk is kiértékelhetők.

Meg lehet állapítani, hogy ki használta a számítógépet?

A digitális nyomok egy felhasználói fiókhoz vagy munkamenethez köthetők. Azonban ahhoz, hogy véglegesen egy adott személyhez kössük őket, további információkra lehet szükség.

Bizonyítható-e az adatvédelmi incidens?

Megfelelő körülmények között az USB-meghajtók, a felhőalapú tárhelyek, az e-mailek, a fájlok és egyéb nyomok lehetővé tehetik egy potenciális adatvédelmi incidens rekonstruálását. A konkrét következtetés a rendelkezésre álló adatoktól függ.

A számítógépes forenzika képes-e kártevőket észlelni?

Igen. Fájlok, rendszerváltozások, indítási programok, folyamatok, hálózati nyomkövetések és egyéb jelzők vizsgálhatók.

Bizonyítható egy hackertámadás?

A rendelkezésre álló rendszer- és naplóadatoktól függően rekonstruálható a jogosulatlan hozzáférés bizonyítéka és annak sorrendje. Azonban nem minden támadás hagy ugyanolyan vagy tartós nyomokat.

Ki kell kapcsolni egy gyanús számítógépet?

Nem általánosító állítás. Működő titkosított rendszerek vagy biztonsági incidensek esetén az illékony adatok kulcsfontosságúak lehetnek. A megfelelő intézkedés az adott helyzettől függ.

Kikapcsolt számítógépet kell indítani tesztelési célokra?

Potenciális bizonyíték esetén a megfelelő biztonsági mentési módszer meghatározásáig lehetőség szerint kerülni kell a normál rendszerindítást, mivel a rendszerindítási folyamat módosíthatja a meglévő adatokat.

Mi az a forenzikus másolat?

A forenzikus biztonsági mentés egy meghatározott adathalmaz ellenőrzött és dokumentált gyűjtését jelenti. Megfelelő adathordozók esetén ez magában foglalhatja a tároló szektoronkénti ábrázolását is.

Mi az az írásblokkoló?

Megfelelő biztonsági mentési forgatókönyvek esetén az írásblokkoló megakadályozza, hogy a vizsgálórendszer a forrás adathordozóra írjon.

Miért használnak hash értékeket?

A hash értékek lehetővé teszik annak ellenőrzését, hogy egy adott digitális adathalmaz megváltozott-e a kiszámítása óta.

Bizonyítja-e a hash érték a biztonsági mentés teljességét?

Nem. Egy hash érték alátámaszthatja a ténylegesen hashelt adathalmaz integritását, de nem bizonyítja automatikusan, hogy az összes lehetséges adatot rögzítették az adatgyűjtés során.

Mi az idővonal-elemzés?

Ez magában foglalja a különböző adatforrásokból származó időinformációk kombinálását egy technikai folyamat rekonstruálásához.

Mi a különbség a számítógépes forenzika és az adatmentés között?

Az adatmentés az adatok visszakeresésére összpontosít. A számítógépes forenzika emellett a digitális nyomok eredetét, integritását, időbeli összefüggéseit és jelentését is vizsgálja.

Lehet egy Mac-et igazságügyi szakértőnek megvizsgálni?

Igen. A macOS rendszerek forenzikusan vizsgálhatók. Az Apple hardverek, az APFS és a FileVault azonban az adott rendszerhez igazított megközelítést igényelnek.

Megvizsgálható egy BitLockerrel titkosított Windows PC?

Elvileg még egy titkosított rendszer is vizsgálat tárgya lehet. Az, hogy mely adatokhoz lehet valójában hozzáférni, többek között a rendszer állapotától és az elérhető visszafejtési módszerektől függ.

Mennyi ideig tart a számítógépes forenzika?

Ez az adatmennyiségtől, az eszközök számától, a tárhelykapacitástól, a titkosítástól és a vizsgált konkrét kérdéstől függ. A biztonsági mentés létrehozása és az azt követő szakmai elemzés különálló lépések.

Alkalmazható-e a számítógépes forenzika a bíróságon?

A digitális forenzikai megállapítások relevánsak lehetnek a jogi eljárásokban. Bizonyító erejük többek között az adatforrástól, a megőrzés módjától, a dokumentációtól és a vonatkozó jogi értékeléstől függ.

Mik a számítógépes forenzika korlátai?

A korlátozások többek között a felülírásból, a titkosításból, a hiányzó protokollokból, az SSD-tároló tisztításából és az egyes műtermékek korlátozott magyarázó erejéből adódnak.

A számítógépes forenzika a kapcsolatok rekonstruálásával foglalkozik, ahelyett, hogy csak fájlokat keresne.

A számítógépes forenzika erőssége nem a lehető legtöbb fájl listázásában rejlik. A döntő fontosságú a technikailag ellenőrizhető kapcsolatok rekonstruálása.

Már egyetlen USB-bejegyzés is jelezheti, hogy egy adathordozót csatlakoztattak a számítógéphez. Csak további leletek adhatnak támpontot arra vonatkozóan, hogy a releváns fájlokat ugyanabban az időszakban nyitották-e meg vagy másolták-e. Egy dátum/időbélyegző egy adott időpontra utalhat. Csak más rendszernyomokkal való összehasonlítás mutatja meg, hogy mennyire megbízható az értelmezése.

Ugyanez vonatkozik a törölt fájlokra, a böngészési tevékenységekre, a felhasználói bejelentkezésekre vagy a potenciális támadásokra. Egyetlen technikai megállapítást nem szabad tágabban értelmezni, mint ahogy azt az adatforrása lehetővé teszi.

A professzionális számítógépes forenzika ezért ötvözi a forenzikus adatmentést , az operációs rendszer és a fájlrendszer elemzését, az időbeli korrelációt és a szakértői értékelést. Nemcsak a talált adatokat dokumentálja, hanem azt is, hogyan jutottak hozzá a megállapításhoz, milyen adatforráson alapul, és milyen alternatív magyarázatokat kell figyelembe venni.

Ez lehetővé teszi egy érthető rekonstrukció létrehozását nagyszámú egyedi műszaki információból anélkül, hogy többet állítanánk, mint amit a tényleges digitális nyomok bizonyítanak.

Vissza a tudástárhoz