Računala pohranjuju daleko više informacija nego što je na prvi pogled očito. Operativni sustavi, datotečni sustavi, aplikacije, preglednici, korisnički računi, vanjski uređaji za pohranu i sistemski zapisnici mogu ostaviti digitalne tragove koji omogućuju tehničku rekonstrukciju procesa, ponekad i dugo nakon što se događaj dogodio.

Usluge računalne forenzike tvrtke LB Forensik usmjerene su na profesionalno osiguranje, analizu i procjenu ovih digitalnih tragova na Windows računalima, prijenosnim računalima, Apple Mac sustavima, tvrdim diskovima, SSD-ovima i drugim medijima za pohranu.

Ovisno o pitanju, moguće je, na primjer, istražiti koje su datoteke bile prisutne ili izbrisane, kada su se dogodile određene korisničke aktivnosti, koji su vanjski uređaji za pohranu bili spojeni, koje se internetske aktivnosti mogu pratiti ili postoje li tehničke naznake zlonamjernog softvera, manipulacije ili neovlaštenog pristupa.

Odlučujući faktor nije najveća moguća količina izvučenih podataka. Cilj forenzičke istrage je tehnički provjerljiv odgovor na specifično dokazno pitanje.

Temeljne zahtjeve za digitalne dokaze detaljnije objašnjavamo u članku "Integritet digitalnih dokaza" . U istragama koje uključuju i pametne telefone ili tablete, računalna analiza može se kombinirati s našom mobilnom forenzikom .

Što je računalna forenzika?

Računalna forenzika je podpodručje digitalne forenzike. Bavi se strukturiranim osiguranjem, ispitivanjem, rekonstrukcijom i procjenom digitalnih tragova na računalima i njihovim povezanim sustavima za pohranu.

Predmet istrage može uključivati, između ostalog, stolna računala, prijenosna računala, MacBookove, tvrde diskove, SSD-ove, USB uređaje za pohranu, memorijske kartice, vanjske diskove ili odabrane podatke poslužitelja i mreže.

Profesionalna istraga započinje jasno definiranim pitanjem:

Koji digitalni tragovi mogu tehnički potvrditi, opovrgnuti ili rekonstruirati određeni proces u vremenu?

Tek tada se utvrđuje koje sustave treba osigurati i koje forenzičke artefakte treba ispitati.

Na koja pitanja može odgovoriti računalna forenzika?

Ovisno o dostupnim podacima i opsegu istrage, između ostalog se može ispitati sljedeće:

• koje su se datoteke nalazile na računalu,
• kada su datoteke kreirane, izmijenjene ili izbrisane,
• mogu li se izbrisani podaci još uvijek oporaviti,
• koji su korisnički računi korišteni,
• koji su programi pokrenuti ili instalirani,
• koji su vanjski uređaji za pohranu bili spojeni
• koje se aktivnosti na internetu i u pregledniku mogu pratiti,
• postoje li naznake neovlaštenog pristupa,
• postoje li tehnički tragovi zlonamjernog softvera,
• jesu li datoteke možda kopirane ili prenesene na vanjske uređaje za pohranu,
• jesu li manipulacije ili radnje brisanja sljedive,
• koji su događaji vremenski povezani.

Ne može se na svako pitanje odgovoriti samo na temelju jednog artefakta. Često se pouzdana cjelokupna tehnička slika dobiva tek korelacijom nekoliko neovisnih izvora podataka.

Forenzičko očuvanje računala

Računalna analiza trebala bi u osnovi razlikovati osiguranje izvornog sustava od naknadne analize.

U prikladnim slučajevima, prvo se izrađuje forenzička sigurnosna kopija relevantnih nosača podataka ili skupova podataka. Naknadna analiza se zatim, ako je moguće, provodi na sigurnosnoj kopiji ili određenoj radnoj kopiji.

Namjera je spriječiti izmjenu izvornog sustava nepotrebnim istražnim koracima.

Koja je metoda sigurnosne kopije prikladna ovisi o stanju sustava, šifriranju, vrsti nosača podataka i specifičnom dokaznom pitanju.

Forenzika tvrdog diska

Tradicionalni tvrdi diskovi mogu sadržavati opsežne forenzičke informacije.

Uz trenutno vidljive datoteke, ovisno o datotečnom sustavu i daljnjoj upotrebi, mogu biti prisutne i izbrisane datoteke, strukture datotečnog sustava, metapodaci i drugi digitalni artefakti.

Analiza tvrdog diska stoga može ići daleko izvan pukog otvaranja vidljivih mapa i datoteka.

Forenzika SSD-a

Ispitivanje modernih SSD-ova razlikuje se u važnim aspektima od ispitivanja klasičnih magnetskih tvrdih diskova.

Tehnologije poput izravnavanja istrošenosti, sakupljanja smeća i TRIM-a utječu na to kako se podaci interno pohranjuju i obrađuju nakon procesa brisanja.

Raširena pretpostavka da se izbrisane datoteke mogu oporaviti s SSD-a na isti način kao i s tradicionalnog tvrdog diska stoga je tehnički nepouzdana.

Čak i ako se sadržaj datoteke više ne može rekonstruirati, drugi artefakti mogu pružiti dokaze da su datoteke, aplikacije ili određene aktivnosti postojale.

Forenzika datotečnog sustava

Datotečni sustavi organiziraju datoteke, direktorije i pridružene metapodatke.

Ovisno o operativnom sustavu i mediju za pohranu, mogu biti relevantni različiti datotečni sustavi.

Analiza može pružiti informacije o datotekama, strukturama direktorija, vremenskim oznakama i drugim artefaktima datotečnog sustava.

Mora se uzeti u obzir da različite vremenske oznake imaju različita tehnička značenja i da ih različiti sistemski procesi mogu mijenjati.

Forenzika sustava Windows

Windows sustavi generiraju brojne digitalne artefakte tijekom korištenja.

Ovisno o pitanju, relevantne informacije mogu uključivati ​​korisničke profile, podatke registra, zapisnike događaja, informacije o datotečnom sustavu, prečace, artefakte izvršavanja programa, podatke preglednika i informacije o povezanim uređajima.

Kombiniranjem nekoliko ovih izvora, određene aktivnosti korisnika i sustava mogu se kronološki rekonstruirati.

Forenzika na Macu i macOS

Appleovi sustavi također sadrže brojne forenzički relevantne izvore podataka.

Prilikom ispitivanja Maca, MacBooka i macOS-a, posebna pozornost mora se posvetiti korištenom datotečnom sustavu, sigurnosnim mehanizmima, korisničkim računima i eventualnom šifriranju pogona.

Moderni Apple sustavi značajno se razlikuju od klasičnih Windows računala po svojim tehničkim specifikacijama. Stoga se strategija sigurnosnog kopiranja mora prilagoditi odgovarajućoj generaciji hardvera i operativnog sustava.

Forenzika Linuxa

Linux sustavi mogu biti posebno relevantni za servere, razvojna okruženja i tehnička radna mjesta.

Ovisno o distribuciji i konfiguraciji, mogu se pregledati sistemski zapisnici, korisničke informacije, povijesti ljuske, artefakti datotečnog sustava, konfiguracijske datoteke i drugi tehnički podaci.

Koji su tragovi prisutni uvelike ovisi o specifičnoj konfiguraciji sustava.

Forenzika RAM-a i nestabilni podaci

Nisu sve relevantne informacije trajno pohranjene na tvrdom disku ili SSD-u.

Računalo koje radi može sadržavati hlapljive informacije u svojoj memoriji.

Ovisno o stanju sustava i cilju istraživanja, sigurnosno kopiranje radne memorije stoga može biti relevantno.

Podaci RAM-a mogu sadržavati informacije o pokrenutim procesima, mrežnim vezama ili drugim stanjima sustava aktivnim u trenutku izrade sigurnosne kopije.

Ove se informacije uvijek gube kada se sustav isključi.

Forenzika uživo ili isključeni sustav?

Odluka o tome hoće li se računalo koje je u pogonu isključiti ili će se pregledati i osigurati dok je u pogonu može imati značajne implikacije na dokaze.

Sustav u radu može sadržavati promjenjive informacije. Istovremeno, svaka interakcija s računalom u radu mijenja njegovo stanje.

U šifriranim sustavima može biti važno i je li nosač podataka već montiran u dešifriranom stanju u relevantnom trenutku.

Stoga ne postoji jedna ispravna preporuka za svaki slučaj.

U slučaju specifičnog incidenta koji uključuje dokaze ili sigurnosne probleme, preporučljivo je razjasniti, ako je moguće prije poduzimanja bilo kakvih daljnjih radnji, koja je sigurnosna strategija tehnički prikladna.

Forenzička analiza izbrisanih datoteka

Brisanje datoteke ne znači automatski da su sve informacije odmah nestale iz svakog sustava za pohranu.

Ovisno o datotečnom sustavu, mediju za pohranu, načinu brisanja i daljnjoj upotrebi, podaci ili ostaci datoteka mogu i dalje biti prisutni.

Međutim, kod SSD-ova, TRIM i mehanizmi čišćenja interne memorije mogu značajno ograničiti oporavak.

Stoga se oporavak izbrisanih podataka općenito nikada ne može jamčiti.

Tragovi mogu ostati čak i bez restauracije.

Za forenzičku istragu nije isključivo ključno može li se oporaviti cijeli sadržaj izbrisane datoteke.

Drugi sistemski artefakti mogu pružiti tragove o prethodnim datotekama ili aktivnostima.

To može biti relevantno, na primjer, može li se određeni naziv datoteke, put pohrane ili proces korištenja i dalje pratiti u drugim strukturama podataka.

Pregledajte datoteke i dokumente

Dokumenti mogu sadržavati dodatne tehničke informacije osim svog vidljivog sadržaja.

Ovisno o formatu datoteke, mogu biti prisutni metapodaci, informacije o vremenu, informacije o autoru ili druga svojstva.

Ovi podaci mogu biti relevantni za pitanja o stvaranju, uređivanju ili podrijetlu dokumenta.

Međutim, metapodaci se moraju procijeniti u tehničkom kontekstu jer se mogu temeljno promijeniti.

USB forenzika i vanjski uređaji za pohranu

U slučajevima sumnje na curenje podataka ili neovlašteno kopiranje podataka, ključno pitanje često je jesu li korišteni vanjski mediji za pohranu.

Računala mogu ostaviti tragove spojenih USB uređaja.

Ovisno o operativnom sustavu i dostupnosti podataka, mogu biti prisutne informacije o određenim uređajima ili njihovoj upotrebi.

Ove informacije mogu se povezati s informacijama o datoteci, korisniku i vremenu.

Je li moguće dokazati koje su datoteke kopirane na USB stick?

Ovo pitanje treba ispitati od slučaja do slučaja.

Činjenica da je određeni USB uređaj za pohranu bio spojen ne dokazuje automatski koje su datoteke kopirane na njega.

Stoga, kako bi se tehnički rekonstruiralo moguće curenje podataka, potrebno je međusobno usporediti različite artefakte.

Ova razlika je posebno važna u pitanjima koja se odnose na radno pravo ili kriminalitet bijelih ovratnika.

Forenzika preglednika i internetska aktivnost

Web preglednici mogu generirati opsežne digitalne tragove.

Ovisno o pregledniku, korisničkom profilu i stanju podataka, relevantni mogu biti, na primjer, povijest, preuzimanja, kolačići, podaci predmemorije, spremljene informacije o sesiji ili drugi artefakti preglednika.

To omogućuje da se određene internetske aktivnosti, ako je potrebno, postave kronološkim redoslijedom.

I ovdje vrijedi sljedeće: Pojedinačni artefakt preglednika ne smije se automatski izjednačavati s određenom fizičkom osobom.

Aktivnosti preuzimanja i prijenosa

U određenim istragama relevantno je jesu li datoteke preuzete s interneta ili prenesene putem online usluga.

Podaci preglednika, artefakti datotečnog sustava, informacije o aplikacijama i eventualno drugi zapisnici mogu pružiti tragove.

Može li se određeni prijenos ili preuzimanje pouzdano dokazati ovisi o dostupnim tehničkim dokazima.

Forenzika e-pošte na računalima

Komunikacija putem e-pošte može ostaviti relevantne informacije na različitim razinama.

Uz vidljive poruke, mogu se pregledati lokalne baze podataka pošte, privitci, informacije iz zaglavlja, podaci iz predmemorije i drugi artefakti.

U složenim slučajevima, analiza lokalnog računala može se kombinirati s pregledom relevantnog računa e-pošte ili drugih dostupnih izvora podataka.

Tragovi u oblaku na računalu

Čak i kada su datoteke pohranjene u usluzi u oblaku, lokalni tragovi i dalje mogu ostati na računalu.

Programi za sinkronizaciju, lokalni direktoriji, podaci predmemorije, konfiguracije i drugi artefakti mogu pružiti tragove o korištenju usluge u oblaku.

Međutim, artefakti lokalnog računala i podaci koje zapravo posjeduje pružatelj usluga u oblaku različiti su izvori dokaza i moraju se zasebno procijeniti.

Skeniranje zlonamjernog softvera i zlonamjernih programa

Ako se sumnja na kompromitirano računalo, može se provjeriti postoje li tehničke naznake zlonamjernog softvera ili drugih neželjenih promjena.

To omogućuje pregled datoteka, procesa, mehanizama automatskog pokretanja, konfiguracija sustava, zapisnika događaja i drugih artefakata.

Profesionalna analiza nije ograničena samo na tvrdnju da je skener virusa otkrio određenu datoteku.

Ključno jest koji su tehnički provjerljivi tragovi prisutni i koji se zaključci iz njih mogu izvući.

Hakirano računalo – može li se napad dokazati?

Može li se dokazati prethodni neovlašteni pristup ovisi o tome koji su tragovi još uvijek prisutni.

Relevantne informacije mogu se pronaći u sistemskim zapisnicima, korisničkim računima, aplikacijama, podacima preglednika, mrežnim tragovima ili drugim artefaktima.

Međutim, odsutnost uočljivog artefakta ne dokazuje automatski da se napad nikada nije dogodio.

Slično tome, jedna tehnička anomalija ne dokazuje automatski uspješan kompromis.

Napadi ransomwarea i šifriranja

Nakon incidenta s ransomwareom mogu se pojaviti razna forenzička pitanja.

To uključuje, na primjer, mogući početni put napada, pogođene korisničke račune, izvršene programe, vremenske crte i koji su sustavi bili pogođeni.

U slučaju korporativnih incidenata, takva istraga može biti dio sveobuhvatnije analize odgovora na incident.

Istražite sumnjivu manipulaciju

U sporovima se može postaviti pitanje jesu li datoteke, dokumenti ili druge digitalne informacije naknadno izmijenjene.

Računalna forenzika može ispitati postojeće metapodatke, informacije o datotečnom sustavu i druge tehničke artefakte, provjeravajući nedosljednosti.

Međutim, tehnička anomalija nije automatski dokaz namjerne manipulacije.

Suprotno tome, odsutnost anomalije ne dokazuje da datoteka nikada nije bila mijenjana.

Rekonstrukcija aktivnosti korisnika

Moderni operativni sustavi generiraju brojne artefakte tijekom svog korištenja.

Korelacijom različitih izvora moguće je rekonstruirati koje su se aktivnosti odvijale na sustavu u određeno vrijeme.

Potrebno je razlikovati aktivnost korisničkog računa od identiteta fizičke osobe.

Činjenica da je određeni korisnički račun bio aktivan ne dokazuje automatski koja je osoba zapravo sjedila ispred računala.

Analiza vremenske crte – kronološka rekonstrukcija događaja

Jedna od najmoćnijih metoda u računalnoj forenzici je vremenska korelacija različitih digitalnih tragova.

To omogućuje, na primjer, da se događaji datotečnog sustava, sistemski zapisnici, izvršavanja programa, aktivnosti preglednika, USB veze i drugi artefakti smjeste u zajednički vremenski kontekst.

Takav vremenski okvir može pomoći u rekonstrukciji složenih procesa korak po korak.

Vremenske oznake moraju se ispravno interpretirati s tehničkog stajališta. Različiti sustavi mogu koristiti različite vremenske zone, vremenske formate i značenja vremenskih vrijednosti.

Zajedno proučite računalo i pametni telefon

Digitalna pitanja danas rijetko su ograničena na jedan uređaj.

Dokument je možda kreiran na računalu, sinkroniziran putem usluge u oblaku, otvoren na pametnom telefonu, a zatim poslan putem programa za razmjenu poruka.

Stoga u složenim slučajevima zajednički pregled različitih uređaja može biti znatno informativniji.

LB Forensics može kombinirati računalnu i mobilnu forenziku unutar zajedničke istražne strategije.

Šifrirana računala i uređaji za pohranu podataka

Moderna računala sve više koriste šifriranje pogona i datoteka.

Na primjer, BitLocker može biti relevantan za Windows sustave, a FileVault za Apple sustave.

Može li se pristupiti šifriranim podacima i kako ovisi o stanju sustava, konfiguraciji i dostupnim informacijama o pristupu.

Stoga, postojeću enkripciju treba uzeti u obzir pri planiranju očuvanja dokaza.

Forenzička sigurnosna kopija umjesto jednostavne kopije datoteke

Kopiranje vidljivih datoteka na USB stick nije ekvivalentno potpunoj forenzičkoj sigurnosnoj kopiji.

Profesionalni proces izrade sigurnosnih kopija dokumentira koji je sustav ili nosač podataka korišten, koja je metoda korištena i koji je skup podataka sigurnosno kopiran.

Ovisno o slučaju koji se istražuje, kriptografske hash vrijednosti mogu se koristiti za dokumentiranje integriteta definiranih skupova podataka na način koji se može pratiti.

Hash vrijednost ne dokazuje automatski istinitost ili autorstvo sadržaja datoteke. Primarno omogućuje usporedbu je li se definirani skup podataka promijenio u odnosu na dokumentirano referentno stanje.

Blokada pisanja i zaštita izvornog nosača podataka

Prikladne analize nosača podataka mogu koristiti hardverske ili softverske metode osmišljene za sprječavanje ili minimiziranje nenamjernog pristupa pisanju na izvorni medij.

Koja je metoda prikladna ovisi o specifičnom nosaču podataka i strategiji sigurnosnog kopiranja.

Cilj je sačuvati izvorno stanje dokaza koliko je tehnički moguće i dokumentirati promjene na sljediv način.

Lanac čuvanja i lanac dokaza

U pravno relevantnim istragama, rezultat analize nije jedini važan faktor.

Jednako ključna može biti mogućnost praćenja koji je uređaj pregledan, kada je nabavljen, kako je osiguran i na kojem se skupu podataka temelji naknadna analiza.

Ovaj dokumentirani lanac dokaza često se naziva lancem čuvanja.

Forenzičko izvješće i stručno mišljenje

Sveobuhvatna tehnička analiza korisna je samo ako su rezultati prikazani na razumljiv način.

Ovisno o zadatku, relevantni nalazi mogu se stoga dokumentirati u izvješću o istrazi ili stručnoj analizi.

Dobra forenzička dokumentacija razlikuje:

• utvrđene tehničke činjenice,
• korištene metode ispitivanja,
• tehnički zaključci,
• postojeća ograničenja i
• Pitanja na koja se ne može odgovoriti na temelju dostupnih podataka.

Više informacija možete pronaći u našem stručnom uredu za IT i mobilnu forenziku.

Što treba izbjegavati prije računalne forenzičke istrage?

U potencijalnom slučaju dokazivanja, loše promišljene radnje mogle bi izmijeniti postojeće dokaze.

• Nemojte prerano brisati ili premještati datoteke.
• Nemojte koristiti nikakve programe za čišćenje.
• Nemojte vraćati računalo na tvorničke postavke.
• Nemojte izvoditi instalaciju novog operativnog sustava.
• Nemojte formatirati SSD ili tvrdi disk.
• Nemojte instalirati nepotrebna ažuriranja.
• Ne provodite nikakve antivirusne ili popravne mjere bez prethodne procjene.
• Izbjegavajte nepotrebno spajanje vanjskih uređaja za pohranu.
• Ne brišite datoteke zapisnika ili korisničke profile.

Sustav koji radi ne bi se trebao automatski isključivati. Hlapljivi podaci ili stanje enkripcije mogu biti relevantni za strategiju sigurnosnog kopiranja.

Računalna forenzika za tvrtke

U tvrtkama, računalna forenzika može biti posebno relevantna u slučajevima sumnje na curenje podataka, neovlašteni pristup, zlonamjerni softver, interne manipulacije, kršenja usklađenosti ili drugih sigurnosnih incidenata.

Tehničke mogućnosti i pravni okviri moraju se uzeti u obzir zajedno.

Stoga bi istraga trebala biti usmjerena na određeno pitanje i jasno definiran opseg istrage.

Računalna forenzika u slučajevima zaposlenika

Tijekom internih istraga, računala radnih stanica mogu sadržavati važne digitalne tragove.

Moguća pitanja odnose se, na primjer, na kopije podataka, vanjske medije za pohranu, aktivnosti s datotekama ili druge tehničke procese.

Forenzička istraga ne zamjenjuje preispitivanje dopuštenosti mjere prema radnom pravu ili pravu na zaštitu podataka.

Računalna forenzika za odvjetnike i sudove

Digitalni podaci mogu igrati ključnu ulogu u građanskim, kaznenim, radnim ili gospodarskim postupcima.

LB Forensik pruža podršku u tehničkom osiguranju, analizi i evaluaciji digitalnih dokaza.

Razlikuje se tehnički provjerljiva činjenica i opsežnije pravne procjene.

Računalna forenzika za privatne osobe

Privatne osobe također mogu dati na forenzičku analizu računala i uređaja za pohranu podataka.

Tipična pitanja uključuju, na primjer, sumnju na neovlašteni pristup, gubitak podataka, sumnju na manipulaciju, zlonamjerni softver, izbrisane podatke ili osiguranje digitalnih dokaza za sudske postupke.

Računalna forenzika diljem Njemačke

LB Forensik podržava tvrtke, odvjetnike, vlasti i privatne osobe diljem zemlje u osiguravanju i istraživanju digitalnih sustava.

Ovisno o okolnostima, osiguranje ili istraga mogu se provesti na licu mjesta ili pod kontroliranim uvjetima istrage.

Regionalne informacije mogu se pronaći, na primjer, pod IT forenzika za Stuttgart , IT forenzika za Düsseldorf i IT forenzika za Hanover.

Granice računalne forenzike

Profesionalna računalna forenzika može otkriti opsežne digitalne tragove. Međutim, ne može odgovoriti na svako pitanje.

• Izbrisani podaci nisu uvijek oporavljivi.
• Prepisani podaci mogu biti trajno izgubljeni.
• TRIM i interni procesi SSD-a mogu ograničiti oporavak.
• Šifriranje može spriječiti ili otežati pristup podacima.
• Ne ostavljaju sve korisničke aktivnosti jasan digitalni zapis.
• Korisnički račun nije automatski sinonim za određenu fizičku osobu.
• Vremenski žig mora se tehnički interpretirati.
• Odsutnost artefakta ne dokazuje automatski da se događaj nikada nije dogodio.

Profesionalno utemeljena istraga stoga ne samo da identificira pronađene tragove, već i granice njihovog značaja.

Često postavljana pitanja o računalnoj forenzici

Što je računalna forenzika?

Računalna forenzika je strukturirano osiguranje, analiza i evaluacija digitalnih tragova na računalima i medijima za pohranu. Cilj je tehnička rekonstrukcija specifičnih događaja na temelju dostupnih podataka.

Koja računala se mogu forenzički ispitati?

Ovisno o sustavu i postavljenom pitanju, mogu se pregledati Windows računala, prijenosna računala, Apple Mac sustavi, kao i povezani tvrdi diskovi, SSD-ovi i vanjski mediji za pohranu.

Može li se utvrditi koje su datoteke izbrisane?

To se može dogoditi ovisno o datotečnom sustavu, mediju za pohranu i naknadnoj upotrebi. Čak i ako se sadržaj datoteke ne može oporaviti, drugi artefakti i dalje mogu ukazivati ​​na postojanje prethodnih datoteka.

Mogu li se izbrisane datoteke oporaviti?

Djelomično. Šanse za uspjeh uvelike ovise o mediju za pohranu, datotečnom sustavu, procesu brisanja i naknadnoj upotrebi. Kod SSD-ova, TRIM i čišćenje interne memorije, posebno, mogu ograničiti oporavak.

Je li moguće utvrditi kada je datoteka izbrisana?

Pod određenim uvjetima, različiti artefakti mogu pružiti tragove o procesu brisanja ili njegovom vremenskom odnosu. Međutim, točno vrijeme brisanja ne može se uvijek odrediti.

Je li moguće utvrditi tko je izbrisao datoteku?

Digitalni tragovi mogu povezati aktivnosti sa sustavom ili korisničkim računom. Međutim, to ne otkriva automatski koja je fizička osoba zapravo izvršila radnju.

Je li moguće utvrditi je li USB stick bio spojen?

Ovisno o operativnom sustavu i stanju podataka, mogu biti prisutni tragovi spojenih USB uređaja.

Je li moguće utvrditi koje su datoteke kopirane na USB stick?

To je potrebno provjeriti pomoću više izvora podataka. Sama prisutnost spojenog USB uređaja ne dokazuje automatski da se proces kopiranja doista dogodio.

Može li se hakirano računalo pregledati?

Da. U slučajevima sumnje na neovlašteni pristup, mogu se analizirati postojeći sustavi, datoteke, korisnici, preglednici, aplikacije i, ako je primjenjivo, mrežni tragovi.

Je li moguće utvrditi kada je haker dobio pristup?

Ako su dostupni odgovarajući zapisnici i drugi artefakti, moguće je suziti vremenski okvir potencijalnog pristupa. Međutim, potpuna rekonstrukcija nije uvijek moguća.

Može li se otkriti zlonamjerni softver?

Ako su odgovarajući artefakti i dalje prisutni, mogu ukazivati ​​na zlonamjerni softver, sumnjive programe ili neuobičajene promjene u sustavu.

Je li moguće utvrditi koje su web stranice posjećene?

Profili preglednika mogu sadržavati povijest, predmemoriju, preuzimanja i druge artefakte, ovisno o stanju podataka. Međutim, privatni načini rada, brisanja i drugi čimbenici mogu utjecati na stanje podataka.

Mogu li se oporaviti izbrisani podaci preglednika?

Ovisno o pregledniku, datotečnom sustavu i stanju pohrane, ovo može biti djelomično moguće. Potpuni oporavak se ne može jamčiti.

Mogu li se e-poruke istražiti?

Da. Lokalno pohranjeni podaci e-pošte, privitci i druge tehničke informacije mogu se analizirati, ovisno o korištenom sustavu.

Može li se aktivnost u oblaku pratiti na računalu?

Lokalna sinkronizacija i artefakti aplikacije mogu pružiti tragove o korištenju određenih usluga u oblaku. Za potpunu procjenu mogu biti potrebni dodatni podaci o oblaku.

Je li moguće utvrditi jesu li datoteke manipulirane?

Istraga može ispitati tehničke anomalije, metapodatke i nedosljednosti. Međutim, ne može se svaka promjena definitivno identificirati ili pripisati određenoj osobi.

Može li se pregledati računalo koje je isključeno?

Da. Nehlapljivi podaci na postojećim medijima za pohranu mogu se sigurnosno kopirati i analizirati, ovisno o enkripciji, stanju i tehničkoj dostupnosti.

Treba li sumnjivo računalo isključiti?

Ne automatski. Kod sustava koji radi, hlapljivi RAM podaci ili prethodno dešifrirani nosač podataka mogu biti relevantni. Stoga, ako je moguće, treba razjasniti odgovarajuću strategiju sigurnosnog kopiranja prije bilo kakve intervencije.

Što je RAM forenzika?

Forenzika RAM-a ispituje podatke iz nestabilne memorije pokrenutog sustava. Ti podaci mogu uključivati ​​informacije o aktivnim procesima i drugim trenutnim stanjima sustava.

Može li se šifrirani tvrdi disk pregledati?

To ovisi o metodi šifriranja, stanju sustava i postojećim informacijama o pristupu. Postojeće šifriranje treba uzeti u obzir što je ranije moguće prilikom planiranja sigurnosne kopije.

Što je forenzička slika?

Forenzička slika je sigurnosna kopija nosača podataka ili skupa podataka stvorena pomoću definirane metode, koja se zatim može koristiti za analizu. Specifična metoda sigurnosne kopije ovisi o objektu koji se istražuje.

Što znači lanac nadzora?

Lanac čuvanja dokumentira lanac dokaza. Namijenjen je praćenju koji je dokaz preuzet, kako je s njim postupano i na temelju kojih podataka je provedena istraga.

Koliko dugo traje računalna forenzika?

Trajanje ovisi prvenstveno o količini podataka, broju uređaja, enkripciji, specifičnim pitanjima koja se postavljaju i potrebnoj dubini istrage. Stoga je pouzdana procjena često moguća tek nakon što se zna točan opseg istrage.

Može li se pregledati resetirano ili novoinstalirano računalo?

Da, istraga i dalje može biti vrijedna truda. Međutim, resetiranje, ponovna instalacija i naknadna upotreba mogu prebrisati prethodne podatke ili ih na neki drugi način učiniti nedostupnima. Koje se informacije još uvijek mogu prikupiti moraju se ispitati na određenom sustavu.

Je li snimka zaslona dovoljna kao digitalni dokaz?

Snimka zaslona može dokumentirati vidljivo stanje, ali obično sadrži znatno manje tehničkih kontekstualnih informacija od izvornog izvora podataka. Stoga, za detaljniju forenzičku procjenu, izvorni izvor podataka treba sačuvati kad god je to moguće.

Što trebam učiniti ako želim forenzičku analizu računala?

Izbjegavajte nepotrebne promjene na sustavu i dokumentirajte njegovo trenutno stanje. Za sustav koji radi ili je šifriran, odredite najbolji postupak prije nego što ga isključite ili napravite bilo kakve daljnje intervencije.

Zatražite računalnu forenziku putem LB Forensicsa

Ako je potrebno pregledati računalo, prijenosno računalo, Mac ili uređaj za pohranu podataka nakon sigurnosnog incidenta, u slučaju sumnje na manipulaciju, gubitak podataka ili u vezi s pravnim sporom, preporučuje se koordinacija što je prije moguće.

Za početnu procjenu, posebno su relevantni vrsta uređaja, operativni sustav, dostupni mediji za pohranu podataka, status šifriranja i specifično pitanje.

LB Forensics tada može utvrditi koje izvore podataka treba osigurati i koja je metoda ispitivanja prikladna za dokazno pitanje.

Profesionalna računalna forenzika nije pronalaženje što veće količine podataka. Ključni faktor je metodično osigurati digitalne tragove, ispravno ih interpretirati s tehničkog stajališta i dokumentirati na način koji omogućuje praćenje.