Kada pametni telefon iznenada pokaže neobičnu aktivnost, otkrije privatne podatke druge osobe ili propusti važne poruke, brzo se postavlja pitanje je li došlo do neovlaštenog pristupa. Međutim, tehnička istraga ne počinje pretpostavkom da je špijunski softver, hakerski napad ili namjerna manipulacija doista prisutan. Važni su digitalni tragovi koji su stvarno prisutni na uređaju i u njegovim povezanim izvorima podataka.

Za privatne osobe u Bremenu pregledavamo pametne telefone, računala i druge digitalne dokaze, posebno u slučajevima sumnje na neovlašteni pristup, izbrisane komunikacije, sumnjivih korisničkih računa ili digitalnih sporova nakon razdvajanja. Tvrtkama je potrebna IT forenzička podrška u situacijama kao što su curenje podataka, interne sumnje, kibernetički incidenti ili potencijalno otkrivanje povjerljivih poslovnih i projektnih podataka.

Bremen ima svoj jedinstveni gospodarski kontekst. Lučke operacije i logistika, zrakoplovna i automobilska industrija te međunarodno umrežene industrijske tvrtke oblikuju lokaciju. Digitalni podaci ovdje mogu obuhvaćati osobnu komunikaciju, kao i tehničku dokumentaciju, informacije o lancu opskrbe, podatke o razvoju ili osjetljive podatke o tvrtki.

IT forenzika u Bremenu – koji su digitalni tragovi zaista značajni?

Cilj forenzičke istrage nije pronaći što više podataka, već odgovoriti na određeno pitanje. Je li netko dobio pristup pametnom telefonu? Mogu li se pronaći tragovi izbrisane komunikacije? Jesu li određene datoteke obrađene na računalu tvrtke? Koji su sustavi bili pogođeni kibernetičkim incidentom?

Jedan artefakt često nije dovoljan. USB pogon spojen na računalo ne dokazuje krađu podataka. Nepoznata prijava ne identificira automatski počinitelja. A povećana potrošnja baterije nije tehnički dokaz nadzora pametnog telefona.

Istraga postaje pouzdanija kada se nekoliko tehničkih informacija uklapa i može se međusobno povezati tijekom vremena.

Forenzika mobilnih telefona za privatne osobe u Bremenu

Danas pametni telefoni sadrže velik dio osobnog života: WhatsApp i druge aplikacije za razmjenu poruka, fotografije, e-poštu, kontakte, korisničke račune, podatke o lokaciji, veze s oblakom i brojne podatke aplikacija.

Pregled može biti koristan, na primjer ako želite znati :

• postoje li naznake neovlaštenog pristupa,
• mogu li se otkriti neobične aplikacije ili konfiguracije,
• jesu li nepoznati uređaji povezani s vašim računima,
• mogu li izbrisane WhatsApp poruke i dalje biti tehnički relevantne,
• hoće li metode digitalnog pristupa i dalje postojati nakon razdvajanja,
• mogu li se fotografije, dokumenti ili drugi podaci i dalje spremiti,
• ili treba li digitalne informacije dokumentirati u pravne svrhe.

Koji se podaci zapravo mogu pregledati ovisi, između ostalog, o uređaju, operativnom sustavu, sigurnosnom statusu, enkripciji i tehnički dostupnoj metodi ekstrakcije.

Moj telefon je možda hakiran – što se može istražiti?

U slučajevima sumnje na neovlašteni pristup, ovisno o uređaju, mogu se ispitati aplikacije, dopuštenja, sistemski artefakti, korisnički računi i druge tehnički relevantne informacije.

Važno je ne tražiti isključivo klasični špijunski softver. Poznate lozinke, još uvijek autorizirani uređaji, dijeljeni Apple ili Google računi, sinkronizacije u oblaku ili povezani uređaji za razmjenu poruka također mogu dovesti do toga da druga osoba dobije pristup informacijama.

Temeljita istraga stoga ostaje otvorena. Ako se u dostupnim podacima ne pronađu pouzdani dokazi o kompromitiranju, taj je nalaz također dio rezultata.

Vanjski pristup nakon razdvajanja

Pogotovo nakon prekida veze, često se javljaju digitalne nesigurnosti. Bivši partneri možda su zajedno postavili uređaje, znali lozinke ili koristili značajke oblaka i obitelji.

To znači da su digitalne veze možda ostale na mjestu bez instalacije skrivenog softvera za nadzor.

Ovisno o slučaju, stoga može biti korisno uzeti u obzir ne samo sam pametni telefon, već i relevantne račune, povezane uređaje i tehnički izvedive metode pristupa.

WhatsApp kao digitalni dokaz

Komunikacija putem WhatsAppa može biti od znatne važnosti u privatnim sukobima, slučajevima prijevare, prijetnjama ili pravnim sporovima.

Forenzička analiza nije ograničena samo na vidljivi tekst chata. Ovisno o dostupnim podacima, relevantni mogu biti poruke, vremenske oznake, informacije o sudionicima, mediji, dokumenti, informacije o grupi i drugi tehnički artefakti.

Snimka zaslona ima drugačije tehničko značenje od podataka iz provjerljivo zaštićenog originalnog izvora.

Tehničke mogućnosti detaljnije objašnjavamo u članku znanja "Forenzička procjena WhatsApp poruka".

Izbrisane poruke – što bi još moglo biti tamo?

Izbrisane WhatsApp poruke ili drugi komunikacijski podaci ne mogu se automatski oporaviti. Međutim, bilo bi jednako netočno tvrditi da nakon brisanja ne mogu ostati nikakve tehničke informacije.

Uređaj, operativni sustav, verzija aplikacije, status baze podataka, postojeće sigurnosne kopije i daljnja upotreba nakon brisanja značajno utječu na mogućnosti.

Ako je vjerojatna kasnija istraga, WhatsApp ne treba prerano ponovno instalirati, a pametni telefon ne treba resetirati ako je moguće.

Izbrisane fotografije, videozapisi i dokumenti

Čak i izbrisane slike, videozapisi ili dokumenti mogu biti predmet istrage. Međutim, moderni pametni telefoni koriste šifriranu flash memoriju i složeno upravljanje pohranom.

To značajno razlikuje mogućnosti od onih tradicionalnih tvrdih diskova. Stoga, osim samog uređaja, relevantne mogu biti i postojeće sigurnosne kopije, sinkronizacije u oblaku ili drugi povezani sustavi.

iPhone i Android – različiti tehnički zahtjevi

Forenzički pregled mora biti prilagođen specifičnom pametnom telefonu. Za iPhone, model, verzija iOS-a, stanje uređaja i sigurnosna konfiguracija mogu biti ključni. Kod Android uređaja, razlikuju se i dodatni čimbenici poput proizvođača, čipseta, verzije operativnog sustava i sigurnosnih zakrpa.

Stoga nije moguće općenito predvidjeti koji će podaci biti dostupni na svakom uređaju. Tehnička situacija se procjenjuje pojedinačno prije nego što se odredi prikladna metoda sigurnosnog kopiranja i analize.

Računalna forenzika u privatnim stvarima

Ne može se svaki digitalni proces riješiti isključivo putem pametnog telefona. Windows računala, Mac računala ili prijenosna računala mogu sadržavati dodatne tragove.

Ovisno o sustavu, relevantne mogu biti aktivnosti korisnika, informacije o datotečnom sustavu, podaci preglednika, povezani uređaji ili lokalno pohranjene informacije iz usluga oblaka i razmjene poruka.

Daljnje osnovne informacije možete pronaći u članku znanja "Što je računalna forenzika?".

Phishing, smishing i online prijevare

Nakon klika na lažnu poveznicu ili primanja phishing poruke, često postoji zabrinutost da je cijeli pametni telefon preuzet. Tehnički, to nije nužno slučaj.

Stoga je slijed događaja ključan za istragu: Koja je poruka primljena? Koja je poveznica otvorena? Jesu li uneseni podaci za prijavu? Je li datoteka preuzeta? Koje su se neobične pojave dogodile nakon toga?

Ovisno o okolnostima, SMS poruke, e-pošta, podaci preglednika, preuzimanja i druge tehničke informacije mogu pomoći u dokumentiranju procesa na razumljiv način.

Digitalni dokazi za odvjetnike i pravne sporove

Ako digitalni podaci kasnije trebaju igrati ulogu u pravnom sporu, sam sadržaj često nije dovoljan. Jednako je važno moći pratiti podrijetlo podataka i tehničku osnovu na kojoj se nalaz temelji.

Uz odgovarajuće sigurnosne mjere, kriptografske hash vrijednosti mogu se koristiti za provjeru naknadnog integriteta definiranog skupa podataka. Međutim, hash vrijednost ne dokazuje ni istinitost sadržaja ni osobu koja je izvršila određenu radnju.

Ova razlika objašnjava naš doprinos integritetu digitalnih dokaza.

Bremen kao pomorska, logistička i tehnološka poslovna lokacija

Bremenska gospodarska struktura značajno se razlikuje od strukture mnogih drugih njemačkih gradova. Lučke operacije i međunarodna logistika susreću se sa zrakoplovnim, automobilskim, industrijskom proizvodnjom i drugim tehnološki intenzivnim sektorima.

U takvim tvrtkama digitalne informacije često imaju neposrednu ekonomsku vrijednost. Informacije o lancu opskrbe, tehnička dokumentacija, projektni dokumenti, podaci o dizajnu, informacije o kupcima i interna komunikacija mogu se distribuirati na različite uređaje i sustave.

U slučaju konkretne sigurnosne sumnje, stoga je prvo potrebno razjasniti koji bi podaci zapravo mogli biti pogođeni i na kojim sustavima se mogu očekivati ​​relevantni tragovi.

Digitalna forenzika za pomorsko poslovanje i logistiku

Danas su logistički procesi visoko digitalizirani. Komunikacija s kupcima i poslovnim partnerima, informacije o robi i isporuci, prava pristupa, dokumenti i operativni procesi obavljaju se putem međusobno povezanih sustava.

U slučaju kršenja podataka ili interne sumnje, fokusiranje isključivo na jedno računalo može biti nedovoljno. Ovisno o okolnostima, sustavi radnih stanica, mobilni uređaji, korisnički računi i drugi izvori podataka mogu biti međusobno povezani.

Međutim, cilj istrage nije potpuno ispitati sve sustave tvrtke, već selektivno osigurati one tragove koji su relevantni za konkretno pitanje.

Zrakoplovstvo – forenzička analiza osjetljivih podataka o razvoju

Bremen ima snažnu zrakoplovnu industriju. U područjima intenzivnog istraživanja i razvoja, tehnička dokumentacija, podaci o projektu, status razvoja i interno znanje mogu biti posebno vrijedni zaštite.

Ako postoji konkretna sumnja na neovlašteno curenje podataka, aktivnosti datoteka, vanjski mediji za pohranu, korisnički računi i drugi tehnički artefakti mogu se ispitati pod odgovarajućim uvjetima.

Ni ovdje činjenica da je datoteka otvorena ne dokazuje automatski da je ona dijeljena. Forenzička evaluacija znači ne pretjerano tumačenje tehničkih događaja izvan onoga što dopuštaju dostupni podaci.

Korporativna forenzika u Bremenu

Tipična pitanja za operativnu istragu mogu uključivati:

• Jesu li kopirane ili izbrisane neke povjerljive datoteke?
• Koji su vanjski mediji za pohranu podataka korišteni?
• Je li bilo kakvih neuobičajenih aktivnosti prije odlaska zaposlenika?
• Je li račun tvrtke korišten bez ovlaštenja?
• Jesu li mogli biti preneseni osjetljivi podaci o projektu ili razvoju?
• Koji su sustavi zapravo bili pogođeni nakon kibernetičkog incidenta?

Opseg tehničke istrage treba što više prilagoditi konkretnom pitanju koje se postavlja.

Curenje podataka putem USB-a, oblaka ili messengera

Podaci tvrtke mogu se obrađivati ​​ili dijeliti na različite načine. USB pogoni su samo jedan mogući izvor podataka. E-pošta, usluge u oblaku ili aplikacije za razmjenu poruka također mogu igrati ulogu, ovisno o okolnostima.

Jedan artefakt rijetko je dovoljan za dokazivanje potpunog curenja podataka. Rekonstrukcija postaje uvjerljivija kada se nekoliko tehničkih tragova podudara u smislu vremena i sadržaja.

Kibernetički incident – ​​reagirajte i sačuvajte dokaze

U slučaju incidenta aktivne sigurnosti, prvi prioritet je spriječiti daljnju štetu. Istovremeno, nekoordinirani napori gašenja požara ili ponovne instalacije mogu promijeniti važne tehničke dokaze.

Stoga bi sprječavanje prijetnji i forenzičke istrage trebale biti što je više moguće koordinirane. Potrebni sustavi i podaci ovise o specifičnom napadu i pitanjima koja se istražuju.

Naši alati za mobilne i računalne istrage

Različiti uređaji zahtijevaju različite forenzičke alate. Stoga, ovisno o objektu istraživanja, koristimo nekoliko specijaliziranih rješenja.

Cellebrite Inseyets

Cellebrite Inseyets posebno podržava strukturiranu analizu mobilnih podataka. Ovisno o uređaju i dostupnim mogućnostima ekstrakcije, relevantni artefakti pametnih telefona mogu se specifično ispitati i povezati.

Cellebrite digitalni kolekcionar

Digital Collector podržava prikladne metode akvizicije za računala i digitalne medije za pohranu. Odabrana metoda ovisi o operativnom sustavu, hardveru, enkripciji i cilju istraživanja.

Cellebrite inspektor

Inspector omogućuje daljnju istragu opsežnih skupova računalnih forenzičkih podataka i podržava strukturiranu analizu relevantnih artefakata.

X-Ways forenzika

X-Ways Forensics se koristi za dubinska istraživanja nosača podataka, datotečnih sustava, particija i drugih računalno forenzičkih struktura.

MOBILedit Forensic i MEFF 3 Pro

MOBILedit Forensic i MEFF 3 Pro nadopunjuju mobilnu forenziku. Pristupi s više alata mogu biti posebno korisni kada je potrebno ispitati različite vrste podataka ili strukture specifične za uređaj.

Međutim, sam softver ne daje pouzdane nalaze. Stručna interpretacija rezultirajućih artefakata ostaje ključna.

Certificirani procesi i stručna procjena

LB Detektive GmbH ima sustav upravljanja kvalitetom certificiran od strane TÜV NORD-a prema DIN EN ISO 9001, čiji opseg uključuje IT forenziku . Osim toga, stručnjak je certificiran prema DIN EN ISO/IEC 17024.

Obje razine ispunjavaju različite funkcije: DIN EN ISO 9001 odnosi se na definirane procese organizacijske kvalitete. Certifikacija prema DIN EN ISO/IEC 17024 odnosi se na dokazanu kompetenciju certificirane osobe.

Za klijente su posebno važni transparentni postupci istrage, kontrolirano rukovanje dokazima i tehnički razumljiva procjena.

Tri tipične ispitne situacije u Bremenu

Privatna komunikacija više ne izgleda povjerljivo.

Nakon prekida veze, druga osoba ima pristup informacijama koje bi trebale biti dostupne samo putem pametnog telefona ili osobnih računa te osobe. Umjesto da se odmah pretpostavi da se radi o špijunskom softveru, moguća tehnička sredstva pristupa su sužena.

Izbrisane poruke postaju relevantne za spor.

Važna komunikacijska povijest više nije u potpunosti vidljiva. Prvo će se ispitati dostupni izvori podataka i sigurnosne kopije. Tek tada se može procijeniti je li daljnja rekonstrukcija tehnički izvediva.

Podaci tvrtke mogli su procuriti prije nego što je zaposlenik napustio tvrtku.

Neobična aktivnost datoteka događa se unutar ograničenog vremenskog okvira. Relevantni sustavi, vanjski uređaji za pohranu i drugi artefakti ispituju se u kontekstu, umjesto da se izvlače preuranjeni zaključci iz jednog događaja.

Ovako funkcionira IT forenzička istraga

1. Definirajte istraživačko pitanje

Prvo se pojašnjava koji specifični tehnički proces treba istražiti.

2. Odredite relevantne izvore podataka

Uključit će se samo uređaji, mediji za pohranu ili računi koji su izravno povezani s dotičnim pitanjem.

3. Pravilno zaštitite podatke

Način izrade sigurnosne kopije ovisi o uređaju, operativnom sustavu, enkripciji i tehničkom stanju.

4. Procijenite digitalne tragove

Relevantni artefakti se analiziraju i, ako je potrebno, međusobno koreliraju u vremenskom ili sadržajnom smislu.

5. Rezultate dokumentirajte na razumljiv način

Ovisno o zadatku, nalazi se mogu sažeti u izvješću o istrazi ili u detaljnijoj stručnoj dokumentaciji.

Što treba izbjegavati prije pregleda?

• Nemojte prenagljeno resetirati sumnjivi pametni telefon.
• Nemojte sami brisati sumnjive aplikacije.
• Nemojte ponovno instalirati WhatsApp ako su relevantne poruke izbrisane.
• Nemojte instalirati nepoznati špijunski softver ili programe za čišćenje.
• Nemojte nepotrebno prepisivati ​​postojeće sigurnosne kopije.
• Nemojte nepotrebno modificirati računala ili uređaje za pohranu podataka ako postoji sumnja na povredu podataka.

IT forenzika u Bremenu i našim područjima djelovanja na sjeveru

Područje naše usluge uključuje Bremen, Bremerhaven, Delmenhorst, Oldenburg, Verden, Achim, Osterholz-Scharmbeck i druge gradove u sjeverozapadnoj Njemačkoj. Također održavamo bliske veze s Hannoverom i Hamburgom na nadregionalnoj razini.

Privatne osobe, tvrtke i odvjetnici iz regije mogu imati na raspolaganju pojedinačne pametne telefone ili računala te složenije slučajeve s više digitalnih dokaza.

Često postavljana pitanja o IT forenzici u Bremenu

Mogu li ja, kao privatna osoba, dati na pregled svog mobitela?

Da. Tipični slučajevi privatne istrage uključuju mogući neovlašteni pristup, izbrisane komunikacije, sumnju na špijunski softver, korisničke račune ili digitalne dokaze za osobne i pravne sporove.

Je li moguće utvrditi ima li netko pristup mom pametnom telefonu?

Mogu se ispitati postojeći tehnički tragovi mogućih pristupnih ruta. Međutim, može li se dokazati određeni pristup ovisi o uređaju, mogućoj pristupnoj ruti i preostalim podacima.

Može li moj bivši partner pristupiti podacima bez špijunskog softvera?

Da. Poznati pristupni podaci, još uvijek autorizirani uređaji, računi u oblaku ili postojeće veze za sinkronizaciju mogu pružiti alternativne metode pristupa.

Mogu li se izbrisane WhatsApp poruke i dalje pohraniti?

Pod određenim tehničkim uvjetima, podaci ili drugi relevantni artefakti mogu i dalje biti prisutni. Međutim, potpuni oporavak se ne može jamčiti.

Može li snimka zaslona biti dovoljna kao digitalni dokaz?

Snimka zaslona može biti relevantna, ali sadrži manje tehničkih informacija od izvornog izvora podataka. Za detaljniju procjenu, izvorni pametni telefon ili odgovarajuća sigurnosna kopija često su informativniji.

Mogu li tvrtke provjeriti jesu li podaci kopirani?

Ovisno o sustavu, mogu se ispitati aktivnosti datoteka, vanjski uređaji za pohranu i drugi tehnički tragovi. Može li se dokazati prijenos određenih datoteka ovisi o ukupnim dostupnim podacima.

Može li se kibernetički napad istražiti naknadno?

To bi moglo biti moguće ako su još uvijek dostupni odgovarajući krajnji uređaji, podaci o računu, protokoli ili drugi relevantni izvori podataka.

Kakvu ulogu igraju hash vrijednosti?

Hash vrijednosti mogu se koristiti za provjeru integriteta definiranog skupa podataka u usporedbi s dokumentiranim referentnim stanjem. Međutim, one ne dokazuju sadržaj ili autorstvo datoteke.

Može li se izraditi stručno izvješće?

Ovisno o zadatku, uz izvješće o tehničkoj istrazi, može se izraditi i detaljnija stručna procjena i dokumentacija.

Kako se određuju troškovi pregleda?

Potreban trud ovisi o istraživačkom pitanju, broju uređaja, količini podataka, tehničkoj dostupnosti i željenom opsegu dokumentacije. Stoga se za složenije slučajeve prvo definira stvarni opseg istraživanja.

Zatražite povjerljive konzultacije iz IT forenzike u Bremenu

Za početnu procjenu, četiri su informacije posebno korisne: Koji je uređaj ili sustav pogođen? Što je točno uočeno? Kada se otprilike dogodio relevantni događaj? I je li uređaj od tada korišten, resetirao ili na neki drugi način modificiran?

Na temelju toga može se utvrditi koji su digitalni dokazi zapravo potrebni i koja je metoda očuvanja i analize prikladna za određeni slučaj. Daljnja tehnička objašnjenja mogu se pronaći u našoj bazi znanja.