Pametni telefon se iznenada ponaša neobično, privatne informacije postaju poznate drugoj osobi ili se važne poruke brišu. S druge strane, u tvrtkama uočljiva aktivnost datoteka, sumnjivi korisnički računi ili potencijalno curenje istraživačkih i poslovnih podataka mogu biti osnova za tehničku istragu.

Za klijente u Würzburgu ispitujemo pametne telefone, računala, uređaje za pohranu podataka i druge digitalne dokaze s ciljem odvajanja tehničkih činjenica od pretpostavki. Pogotovo u privatnim slučajevima cilj često nije izvući što više podataka, već odgovoriti na određeno pitanje: Postoje li dokazi o neovlaštenom pristupu? Postoje li još uvijek digitalne veze s bivšim partnerom? Jesu li izbrisani komunikacijski podaci još uvijek tehnički relevantni? Koje se informacije mogu pouzdano osigurati?

Würzburg posjeduje jedinstven znanstveni i gospodarski kontekst. Istraživanje i razvoj, znanosti o životu, medicinska tehnologija, računalna znanost te tehnologije materijala i površina ključni su sektori grada. To znači da, osim tradicionalnih podataka o tvrtkama, forenzičkoj istrazi mogu biti podvrgnuti i nalazi istraživanja, tehnička dokumentacija i digitalno znanje.

IT forenzika u Würzburgu – što se zapravo može tehnički razjasniti?

Digitalna forenzika započinje provjerljivim pitanjem. Nepoznata prijava ne dokazuje tko je zapravo pristupio računu. Spojeni USB stick nije automatski dokaz krađe podataka. A neuobičajeno pražnjenje baterije pametnog telefona nije dokaz špijunskog softvera.

Stoga se relevantni artefakti procjenjuju u kontekstu. Ovisno o okolnostima, mogu se usporediti informacije o sustavu, aplikacije, korisnički računi, vremenske oznake, podaci datotečnog sustava, artefakti messengera, povezani uređaji za pohranu ili druge tehničke informacije.

Pouzdana studija također mora otvoreno identificirati ono što se ne može pouzdano utvrditi na temelju dostupnih podataka.

Forenzika mobilnih telefona za privatne osobe u Würzburgu

Pametni telefoni sada sadrže značajan dio osobne komunikacije i digitalnog identiteta. WhatsApp i druge aplikacije za razmjenu poruka, fotografije, e-poruke, kontakti, korisnički računi, usluge u oblaku i podaci aplikacija mogu sadržavati relevantne dokaze u slučajevima privatnih sukoba ili sigurnosnih propusta.

Tipična pitanja privatnih klijenata su:

• Ima li neka druga osoba pristup mom pametnom telefonu?
• Postoje li ikakve naznake tehničke manipulacije ili špijunskog softvera?
• Jesu li nepoznati uređaji povezani s mojim računima?
• Može li moj bivši partner i dalje pristupiti osobnim podacima?
• Mogu li se pregledati izbrisane WhatsApp poruke?
• Mogu li se izbrisane fotografije ili druge datoteke i dalje oporaviti?
• Kako se digitalni dokazi mogu osigurati za pravni spor?

Koji su podaci tehnički dostupni ovise o čimbenicima kao što su model uređaja, operativni sustav, enkripcija, sigurnosni status i dostupne metode ekstrakcije. Naš članak " Što je forenzika pametnih telefona?" objašnjava osnove.

Telefon hakiran ili nadziran – ne znači svaka sumnja da je riječ o špijunskom softveru

Mnoge žrtve isprva posumnjaju na skrivenu aplikaciju za nadzor. Međutim, relevantne mogu biti i mnogo jednostavnije metode pristupa.

Poznate lozinke, još uvijek autorizirani tableti ili računala, povezani uređaji za razmjenu poruka, zajednički postavljeni Apple ili Google računi i sinkronizacije u oblaku mogu rezultirati time da informacije ostanu dostupne.

Stoga se istraga ne bi trebala ograničiti samo na traženje određenog zlonamjernog softvera. Ovisno o uređaju, mogu se ispitati aplikacije, dopuštenja, korisnički računi, sistemski artefakti i druge tehničke informacije.

Digitalni pristup nakon razdvajanja ili sukoba u vezi

Pogotovo nakon prekida veze, prethodno dijeljene digitalne strukture mogu postati problematične. Bivši partner možda zna pristupne podatke, stari uređaj možda je još uvijek autoriziran ili zajednički račun možda sinkronizira podatke.

Stoga je prvi korak razjasniti koje su metode digitalnog pristupa realne. Tek tada se može donijeti odluka o tome treba li u istragu uključiti samo pametni telefon ili i račune i druge uređaje.

Ovaj pristup također pomaže u izbjegavanju nepotrebnih procjena osobnih podataka.

Tehnička analiza WhatsApp poruka

Komunikacija putem WhatsAppa može biti relevantna u slučajevima prekida veze, prijetnji, prijevare, privatnih sporova ili pravnih bitaka.

Forenzička analiza nije ograničena samo na vidljivi tekst chata. Ovisno o dostupnim podacima, mogu se ispitati poruke, vremenske oznake, informacije o sudionicima, mediji, dokumenti, informacije o grupi i drugi tehnički artefakti.

Snimka zaslona ima drugačije tehničko značenje od provjerljivo zaštićenog originalnog izvora podataka. Za detaljniju procjenu, originalni pametni telefon ili odgovarajuća sigurnosna kopija su stoga obično informativniji.

Više detalja možete pronaći u našem članku znanja "Forenzička analiza WhatsApp poruka".

Izbrisane WhatsApp poruke – što bi još moglo biti tamo?

Izbrisana komunikacija se ne gubi automatski u potpunosti. Međutim, također se ne može pouzdano jamčiti da se svaka izbrisana poruka može oporaviti.

Ključni čimbenici uključuju uređaj, operativni sustav, verziju WhatsAppa, stanje baze podataka, postojeće sigurnosne kopije i nastavak korištenja nakon brisanja. Starija sigurnosna kopija također može biti relevantna ako je sadržavala poruke koje nedostaju u trenutnim podacima.

Stoga, ako su važne informacije izbrisane, WhatsApp ne treba prerano ponovno instalirati i pametni telefon ne treba resetirati ako je moguće.

Izbrisane fotografije, videozapisi i dokumenti

I drugi osobni podaci mogu biti predmet istrage. Međutim, moderni pametni telefoni koriste šifriranu flash memoriju i složene mehanizme pohrane.

To značajno razlikuje mogućnosti od onih tradicionalnih tvrdih diskova. Stoga, osim samog uređaja, važne mogu biti i postojeće sigurnosne kopije, sinkronizacije u oblaku ili drugi povezani sustavi.

Forenzika za iPhone i Android

iPhone i Android pametni telefoni zahtijevaju drugačiji tehnički pristup. Kod Apple uređaja, model, verzija iOS-a, stanje uređaja i sigurnosna konfiguracija posebno utječu na mogućnosti istrage.

Kod Androida postoje značajne razlike između proizvođača, čipsetova, verzija operativnog sustava i razina zakrpa. Stoga se metoda sigurnosne kopije i ekstrakcije određuje pojedinačno za svaki uređaj.

Za detaljnije informacije pogledajte forenzika za iPhone i forenzika za Android.

Računalna forenzika – kronološka rekonstrukcija digitalnih aktivnosti

Računalo može sadržavati brojne tragove koji nisu odmah vidljivi tijekom normalne upotrebe. Ovisno o operativnom sustavu, informacije o datotečnom sustavu, aktivnost korisnika, podaci preglednika, povezani uređaji i drugi sistemski artefakti mogu biti relevantni.

Vrijeme je često posebno važno. Kada je datoteka otvorena ili izmijenjena? Koji su se drugi događaji dogodili tijekom istog razdoblja? Je li bio spojen vanjski uređaj za pohranu? Koji su drugi tragovi povezani s ovim procesom?

Naš članak znanja "Što je računalna forenzika?" detaljnije objašnjava ovo.

Phishing, smishing i digitalne prijevare

Nakon primanja lažne tekstualne poruke, e-pošte ili posjeta web stranici, često postoji zabrinutost da je cijeli pametni telefon ili računalo kompromitirano.

Za tehničku procjenu, prvo se mora rekonstruirati stvarni slijed događaja: Koja je poruka primljena? Koja je poveznica otvorena? Jesu li uneseni podaci za prijavu? Je li datoteka preuzeta? Koji su se neobični događaji dogodili nakon toga?

Ovisno o okolnostima, SMS poruke, e-pošta, podaci preglednika, preuzimanja i drugi tehnički tragovi mogu biti relevantni za dokumentiranje incidenta.

Digitalni dokazi za odvjetnike i sudske postupke

Svatko tko namjerava kasnije koristiti digitalne informacije u pravnom sporu ne bi trebao obratiti pozornost samo na njihov vidljivi sadržaj. Podrijetlo, način pohrane i tehnička klasifikacija mogu biti jednako relevantni.

Za prikladne skupove podataka, kriptografske hash vrijednosti mogu se koristiti za provjeru njihovog kontinuiranog integriteta. Međutim, hash vrijednost ne dokazuje ni istinitost sadržaja ni koja je osoba izvršila određenu radnju.

Naš članak znanja o integritetu digitalnih dokaza objašnjava ograničenja i mogućnosti.

Würzburg kao istraživačko, medicinsko i tehnološko središte

Würzburg se može pohvaliti jedinstvenom kombinacijom sveučilišta, istraživanja, medicine, znanosti o životu i tehnološki orijentirane industrije. Istraživački prioriteti uključuju eksperimentalnu biomedicinu, medicinsku tehnologiju, znanost o materijalima, strukturne i površinske tehnologije, kao i računalne znanosti i poslovnu informatiku.

To postavlja specifična pitanja za digitalnu forenziku. Istraživački podaci, testne postavke, tehnička dokumentacija, informacije o projektu, osobni podaci i intelektualno vlasništvo mogu imati znatnu znanstvenu i ekonomsku vrijednost.

Takvi se podaci često ne pohranjuju samo na jednom računalu. Radne stanice, prijenosna računala, mobilni uređaji, mediji za pohranu i drugi izvori podataka mogu dokumentirati različite dijelove procesa.

Forenzička analiza podataka istraživanja i razvoja

U istraživanju i razvoju, podaci se često generiraju tijekom duljih razdoblja. Datoteke se verzioniraju, modificiraju, razmjenjuju između radnih stanica i obrađuju na različitim sustavima.

U slučajevima sumnje na povredu podataka, sama prisutnost određene datoteke stoga nije jedini relevantan faktor. Informacije o datotečnom sustavu, vremenske oznake, aktivnost korisnika i vanjski mediji za pohranu također mogu biti važni za rekonstrukciju.

Međutim, tehnički nalaz ne bi se smio automatski tumačiti snažnije nego što podaci dopuštaju. Na primjer, činjenica da je datoteka otvorena ne dokazuje da je podijeljena s trećom stranom.

IT forenzika za tvrtke i institucije u Würzburgu

Tipična pitanja vezana uz poslovanje mogu uključivati:

• Jesu li kopirani povjerljivi poslovni ili projektni podaci?
• Koji su vanjski mediji za pohranu podataka korišteni?
• Je li bilo ikakvih neobičnih aktivnosti s datotekama prije promjene poslodavca?
• Je li korisnički račun korišten bez ovlaštenja?
• Jesu li možda procurile informacije o istraživanju ili razvoju?
• Koji su sustavi bili pogođeni kibernetičkim incidentom?

Opseg istraživanja treba biti što je moguće bliže prilagođen specifičnom istraživačkom pitanju. Posebno kod istraživačkih, zdravstvenih ili kadrovskih podataka, ciljano istraživanje je redovito korisnije od nediferencirane analize velikih skupova podataka.

Krađa podataka tijekom otkaza ili promjene zaposlenika

Procesi koji se odnose na prestanak radnog odnosa, suspenziju ili prelazak kod konkurenta mogu biti posebno osjetljivi. Ako postoje konkretne naznake neuobičajene aktivnosti u datotekama, treba rano razjasniti koje sustave treba sačuvati kao potencijalne dokaze.

Radna računala, službeni mobiteli, prijenosna računala, vanjski uređaji za pohranu podataka i drugi izvori podataka mogu sadržavati različite tehničke tragove.

Dokaz da je USB stick bio spojen samo je jedan dio nalaza. Jesu li određene datoteke doista prenesene mora se procijeniti na temelju dodatnih artefakata.

Kibernetički incidenti – istražite tehničke uzroke umjesto samo vidljivih posljedica

Kibernetički incident često zahtijeva brzu reakciju. Istovremeno, postojeća stanja sustava i zapisnici mogu pružiti ključne tragove o tome što se dogodilo.

Brza ponovna instalacija može promijeniti dokaze. S druge strane, kompromitirani sustav ne smije se nepotrebno nastaviti koristiti isključivo iz forenzičkih razloga.

Stoga se sprječavanje opasnosti i očuvanje dokaza moraju koordinirati ovisno o situaciji.

Forenzička sigurnosna kopija podataka – kvaliteta se određuje prije analize.

Snažan softver za analizu ne može u potpunosti nadoknaditi kasnije neadekvatno sigurnosno kopiranje podataka. Stoga je prvi korak utvrditi kako se dotični objekt istraživanja može učinkovito sigurnosno kopirati.

Pametni telefoni, SSD-ovi, tradicionalni mediji za pohranu i moderna računala imaju različite tehničke zahtjeve. Nije svaka vrsta sigurnosne kopije moguća ili preporučljiva za svaki uređaj.

Daljnje osnovne informacije objašnjene su u našem članku znanja "Sigurnosna kopija forenzičkih podataka".

Naš forenzički softver – različiti alati za različite izvore podataka

Koristimo nekoliko specijaliziranih sustava za ispitivanje pametnih telefona, računala i uređaja za pohranu podataka. Izbor alata ovisi o uređaju, operativnom sustavu i specifičnom pitanju koje se istražuje.

Cellebrite Inseyets

Cellebrite Inseyets posebno podržava strukturiranu analizu mobilnih podataka. Ovisno o pametnom telefonu i dostupnim mogućnostima ekstrakcije, relevantni artefakti mogu se specifično ispitati i povezati.

Cellebrite digitalni kolekcionar

Digital Collector se koristi za prikladno prikupljanje podataka s računala i nosača podataka. Pristup ovisi, između ostalog, o hardveru, operativnom sustavu, enkripciji i cilju istraživanja.

Cellebrite inspektor

Inspector omogućuje daljnju analizu skupova računalnih forenzičkih podataka i podržava strukturiranu evaluaciju relevantnih artefakata unutar velikih skupova podataka.

X-Ways forenzika

X-Ways Forensics se koristi za detaljna istraživanja datotečnih sustava, nosača podataka, particija i drugih računalno forenzičkih struktura.

MOBILedit Forensic i MEFF 3 Pro

MOBILedit Forensic i MEFF 3 Pro nadopunjuju mobilnu forenziku i, ovisno o uređaju, omogućuju dodatne metode tehničke analize.

Broj programa nije odlučujući faktor. Softver izdvaja i strukturira podatke. Samo stručna procjena određuje stvarnu relevantnost artefakta za određeno istraživačko pitanje.

Certificirani procesi i stručna procjena

LB Detektive GmbH ima sustav upravljanja kvalitetom certificiran od strane TÜV NORD-a prema DIN EN ISO 9001, čiji opseg uključuje IT forenziku . Osim toga, stručnjak je certificiran prema DIN EN ISO/IEC 17024.

Potrebno je razlikovati dvije razine. DIN EN ISO 9001 odnosi se na definirane procese organizacijske kvalitete; certifikacija prema DIN EN ISO/IEC 17024 odnosi se na dokazanu kompetenciju certificirane osobe.

Za klijente su posebno važni transparentni procesi, kontrolirano rukovanje dokazima i tehnički razumljiva dokumentacija.

Tri tipične ispitne situacije u Würzburgu

Privatno: Još uvijek imate pristup nakon prekida?

Čini se da druga osoba još uvijek ima pristup privatnim informacijama. Umjesto da se odmah pretpostavi da se radi o špijunskom softveru, moguće pristupne točke sužavaju se na pametne telefone, korisničke račune, veze s oblakom i povezane uređaje.

Privatno: Izbrisana komunikacija postaje pravno relevantna

Važna povijest glasnika više nije u potpunosti vidljiva. Prvo ćemo ispitati koji su izvori podataka još uvijek dostupni i koje su tehničke metode ekstrakcije izvedive. Tek tada možemo pouzdano procijeniti izglede za rekonstrukciju.

Istraživačko ili poslovno okruženje: Moguće je da su procurili povjerljivi podaci.

Unutar definiranog vremenskog okvira otkriva se neobična aktivnost datoteka. Umjesto da se odmah zaključi da to ukazuje na povredu podataka, relevantni sustavi, aktivnost korisnika i vanjski uređaji za pohranu ispituju se u kontekstu.

Kako se odvija IT forenzička istraga?

1. Definirajte istraživačko pitanje

Na početku se definira koji digitalni proces zapravo treba pojasniti.

2. Odaberite izvore podataka

Uključit će se samo uređaji, mediji za pohranu ili računi koji su izravno povezani s dotičnim pitanjem.

3. Pravilno zaštitite podatke

Metoda sigurnosne kopije prilagođena je uređaju, operativnom sustavu, enkripciji i tehničkom stanju.

4. Analizirajte digitalne tragove

Relevantni artefakti su klasificirani tehnički i kronološki te, ako je potrebno, uspoređeni s drugim izvorima podataka.

5. Dokumentirajte rezultate

Ovisno o zadatku, nalazi se mogu sažeti u izvješću o istrazi ili stručnoj dokumentaciji.

Što treba izbjegavati prije pregleda?

• Nemojte prenagljeno resetirati potencijalno kompromitirani pametni telefon.
• Nemojte sami uklanjati sumnjive aplikacije.
• Nemojte ponovno instalirati WhatsApp ako su relevantni podaci izbrisani.
• Nemojte instalirati nepoznati špijunski softver ili programe za čišćenje.
• Nemojte prepisivati ​​postojeće sigurnosne kopije bez pažljivog razmatranja.
• Nemojte nepotrebno modificirati računala ili uređaje za pohranu podataka ako postoji konkretna sumnja na curenje podataka.

IT forenzika u Würzburgu i naša područja djelovanja u Mainfrankenu

Naše područje djelovanja uključuje Würzburg, Schweinfurt, Kitzingen, Ochsenfurt, Karlstadt, Marktheidenfeld, Bad Kissingen, Lohr am Main, Wertheim, Tauberbischofsheim, Bamberg i druge gradove i općine u Mainfranken i Unterfranken.

Zbog položaja Würzburga između Majne-Frankonije i franačkih gospodarskih regija, postoje i bliske veze s Nürnbergom . Klijenti iz regije mogu dati na pregled pojedinačnih pametnih telefona i računala, kao i složenije slučajeve koji uključuju više digitalnih dokaza.

Često postavljana pitanja o IT forenzici u Würzburgu

Mogu li ja, kao privatna osoba, dati na pregled svog pametnog telefona?

Da. Uobičajeni privatni upiti odnose se na neovlašteni pristup, sumnju na špijunski softver, izbrisane poruke, korisničke račune ili digitalne dokaze za osobne i pravne sporove.

Je li moguće utvrditi ima li netko pristup mom telefonu?

Mogu se ispitati postojeći tehnički tragovi mogućih pristupnih ruta. Može li se dokazati određeni pristup ovisi o uređaju, mogućoj pristupnoj ruti i podacima koji su još uvijek dostupni.

Može li moj bivši partner pristupiti mojim podacima bez špijunskog softvera?

Da. Poznati pristupni podaci, još uvijek autorizirani uređaji, računi u oblaku ili postojeće veze za sinkronizaciju mogu pružiti alternativne metode pristupa.

Mogu li se pregledati izbrisane WhatsApp poruke?

U određenim okolnostima, podaci ili tehnički artefakti mogu i dalje biti prisutni. Međutim, potpuni oporavak se ne može jamčiti.

Mogu li se podaci istraživanja ili razvoja forenzički ispitati?

Da. Precizno pitanje je ključno kako bi se relevantni sustavi i izvori podataka mogli posebno istražiti.

Može li se dokazati je li korišten USB stick?

U određenim okolnostima, računalni sustavi mogu sadržavati tragove spojenih USB uređaja. Međutim, dokaz veze ne dokazuje automatski prijenos određenih datoteka.

Mogu li se kibernetički napadi analizirati retrospektivno?

To je moguće ako su još uvijek dostupni odgovarajući krajnji uređaji, informacije o računu, zapisnici ili drugi relevantni izvori podataka.

Smatra li se već izvješće o softveru stručnim mišljenjem?

Ne. Izvješće o softveru prikazuje izdvojene ili strukturirane podatke. Stručna procjena dodatno zahtijeva definirano pitanje, tehničku interpretaciju i razumljivo izvođenje nalaza.

Koji se uređaji mogu pregledati?

Ovisno o pitanju, relevantni mogu biti pametni telefoni, Windows računala, Mac računala, prijenosna računala, tvrdi diskovi, SSD-ovi, USB uređaji za pohranu i drugi digitalni sustavi.

Koliko košta IT forenzička istraga u Würzburgu?

Potreban trud ovisi o istraživačkom pitanju, broju uređaja, količini podataka, tehničkoj dostupnosti i željenoj dokumentaciji. Stoga se u složenijim slučajevima prvo definira stvarni opseg istraživanja.

IT forenzika Würzburg - povjerljiv upit

Za početnu procjenu, posebno su važni pogođeni uređaj ili sustav, specifična abnormalnost, relevantno vremensko razdoblje i sve već napravljene promjene. Ove informacije pomažu u određivanju odgovarajućeg opsega istrage.

Daljnja razumljiva objašnjenja o forenzici pametnih telefona, messengera i računala , kao i o očuvanju digitalnih dokaza, mogu se pronaći u našoj bazi znanja.