Digitalni dokazi trebaju provjerljivu kvalitetu: Kako profesionalna IT forenzika mora funkcionirati danas

Digitalni dokazi su posvuda - ali njihovo ispravno tumačenje je izazovno.

Pametni telefon može sadržavati poruke, fotografije, videozapise, kontakte, podatke o aplikacijama, informacije o korištenju i brojne druge digitalne artefakte. Računalo može pružiti tragove o aktivnosti korisnika, povezanim medijima za pohranu, datotekama, programima, korištenju interneta i sistemskim procesima. Poslužitelji, mreže i okruženja u oblaku generiraju daljnje podatke koji mogu biti relevantni za rekonstrukciju incidenta.

Moderni istražni rad odavno je stigao u stvarnost u kojoj gotovo svaki složeni slučaj može imati digitalnu komponentu.

Tvrtka sumnja na curenje povjerljivih podataka o dizajnu. Račun zaposlenika pokazuje neobičnu aktivnost. Datoteke nedostaju nakon što zaposlenik napusti tvrtku. Pametni telefon može sadržavati osjetljive komunikacije. Odvjetničkom društvu potrebna je tehnička rekonstrukcija određenih procesa. Nakon kibernetičkog napada, mora se utvrditi koji su sustavi bili pogođeni i koji se tragovi još uvijek mogu pronaći.

U takvim situacijama nije dovoljno jednostavno izvući što više informacija iz uređaja.

Ključna pitanja su, naprotiv, sljedeća:

• Koji su podaci relevantni za određenu situaciju?
• Odakle dolaze ovi podaci, tehnički gledano?
• Kako su bili osigurani?
• Jesu li se podaci koji se pregledavaju promijenili tijekom procesa sigurnosne kopije ili analize?
• Koji se tehnički odnosi zapravo mogu uspostaviti?
• Koja alternativna objašnjenja postoje?
• Koji se zaključci mogu izvući iz digitalnog artefakta?
• Koju tvrdnju ne bi potkrijepili dostupni podaci?

Ova odvojenost postojećih podataka i tehnički ispravne procjene ključna je karakteristika profesionalne IT forenzike.

Ekstrakcija podataka još nije digitalna forenzika.

Moderni forenzički sustavi mogu obraditi ogromne količine podataka s računala, pametnih telefona i drugih digitalnih sustava. Poruke se mogu kategorizirati, datoteke pretraživati, vremenske crte stvarati, a tehnički artefakti automatski prikazivati.

Ovo je vrijedno. Međutim, ne treba ga miješati s dovršenom forenzičkom istragom.

Tehnička ekstrakcija prvo odgovara na pitanje koji se podaci mogu dobiti ili prikazati korištenjem određene metode.

Forenzička istraga mora se nastaviti.

Ona mora pojasniti značaj pojedinih informacija u odnosu na specifično istraživačko pitanje.

To je relevantno, na primjer, prilikom utvrđivanja je li:

• povjerljive datoteke su kopirane ili prenesene,
• vanjski uređaj za pohranu bio je spojen na određeno računalo,
• određene korisničke aktivnosti su tehnički sljedive,
• Komunikacijski podaci otkrivaju konkretan kronološki slijed,
• Datoteke su promijenjene ili izbrisane
• korištene su određene aplikacije
• Došlo je do procesa u oblaku ili sinkronizacije,
• sustav je možda bio kompromitiran ili
• više digitalnih tragova pripada zajedničkom događaju.

Bez jasno definiranog istraživačkog pitanja postoji rizik jednostavnog generiranja velikih količina podataka.

Profesionalna digitalna forenzika stoga ne znači izdvajanje svega što je tehnički dostupno. To znači metodično osiguravanje, procjenjivanje, klasificiranje i transparentno dokumentiranje digitalnih informacija relevantnih za definirani slučaj.

Prikupljanje forenzičkih dokaza počinje prije stvarne analize.

Kvaliteta digitalne analize često je određena načinom na koji se obrađuje izvorni objekt analize.

Digitalni sustavi su dinamični. Operativni sustav koji radi mijenja podatke. Aplikacije zapisuju informacije. Pametni telefoni komuniciraju s mobilnom, Wi-Fi i cloud infrastrukturom. Pozadinski procesi mogu promijeniti skupove podataka. Čak i naizgled bezopasan pristup može generirati nove sistemske informacije.

Stoga je faza prikupljanja dokaza jedan od najosjetljivijih dijelova forenzičke istrage.

Ovisno o predmetu istraživanja, između ostalog, moraju se uzeti u obzir sljedeća pitanja:

• Koji je uređaj ili nosač podataka nabavljen?
• U kakvom se stanju nalazio predmet istraživanja?
• Kada je nabavljeno?
• Tko ga je predao?
• Koja je sigurnosna metoda tehnički prikladna?
• Treba li se s aktivnim sustavom postupati drugačije nego s isključenim sustavom?
• Kako se izvorni podaci mogu što više zaštititi?
• Kako se stvaraju radne kopije?
• Kako se provjerava integritet sigurnosno kopiranih podataka?
• Kako su pojedinačni koraci dokumentirani?

Ne postoji univerzalna metoda koja funkcionira za sve pametne telefone, računala, servere i medije za pohranu.

Šifrirani pametni telefon ima drugačije zahtjeve od vanjskog tvrdog diska. Uključeni poslužitelj zahtijeva drugačije razmatranje od isključene radne stanice. Potencijalni kibernetički incident mogao bi uključivati ​​​​hlapljive informacije koje više ne bi bile dostupne nakon ponovnog pokretanja.

Metodička forenzika stoga započinje tehničkom procjenom specifičnog objekta istraživanja.

Hash vrijednosti: važne za provjeru integriteta, ali ne i automatski dokaz

U digitalnoj forenzici, kriptografske metode hashiranja često se koriste za matematičku karakterizaciju skupova podataka i za kontrolu promjena.

Pojednostavljeno rečeno, hash vrijednost se može smatrati računalno generiranom karakterističnom vrijednošću određenog skupa podataka.

Ako se isti skup podataka ponovno obrađuje istom metodom hashiranja, usporedba hash vrijednosti može pomoći u utvrđivanju jesu li se temeljni podaci promijenili.

Hash vrijednosti stoga mogu biti važna komponenta osiguranja integriteta.

Međutim, oni nisu čarobni pečat dokaza.

Na primjer, odgovarajuća hash vrijednost ne znači automatski:

• da je odabran ispravan objekt istraživanja,
• da je izvorno prikupljanje podataka bilo zakonski dopušteno,
• da su zabilježene sve relevantne informacije,
• da je evaluacija softvera ispravno interpretirana ili
• da je stručni zaključak izveden iz njega ispravan.

Algoritmi za hashiranje su alat unutar šireg forenzičkog procesa.

Ova klasifikacija je posebno važna jer se profesionalna IT forenzika ne sastoji od pojedinačnih tehničkih mjera, već od sljedivog lanca osiguranja, analize, evaluacije i dokumentiranja.

Lanac čuvanja: Zašto dokumentirani lanac dokaza može biti važan

U istragama koje uključuju potencijalno dokazne podatke, pitanje nije samo što je tehnički pronađeno.

Jednako je relevantno što se dogodilo s objektom istraživanja od njegovog stjecanja.

U ovom kontekstu često se koristi izraz " lanac čuvanja" ili dokumentirani lanac dokaza.

Ovisno o specifičnom zadatku, može se dokumentirati sljedeće:

• koji je predao predmet istrage,
• kada je došlo do primopredaje,
• kako je objekt bio označen
• koji su imali pristup tome,
• kada je stvorena sigurnosna kopija,
• koje su sigurnosne i analitičke metode korištene,
• koje su radne kopije kreirane i
• kako se s predmetom istraživanja postupalo nakon njegovog završetka.

Takva dokumentacija može pomoći kvalificiranoj trećoj strani da kasnije shvati kako je generiran rezultat digitalne istrage.

Upravo je to ključni princip kvalitete za LB Forensics:

Rezultat ne bi trebao biti samo razumljiv; njegov proces razvoja trebao bi također ostati sljediv.

Mobilna forenzika: Zašto su pametni telefoni među najizazovnijim objektima istrage

Pametni telefoni su danas među digitalnim uređajima s najvećom količinom informacija.

Ovisno o uređaju, operativnom sustavu, aplikaciji, konfiguraciji i dostupnoj bazi podataka, može sadržavati, između ostalog, komunikacijske informacije, podatke aplikacija, kontakte, slike, videozapise, dokumente, informacije o korištenju i druge digitalne artefakte.

Istovremeno, moderni pametni telefoni su među tehnički najzahtjevnijim objektima za ispitivanje u digitalnoj forenzici.

Razlozi za to uključuju:

• moderna kriptografija uređaja,
• zaštićena skladišta,
• Secure Enclave i slične sigurnosne arhitekture,
• različite verzije operativnog sustava,
• redovita sigurnosna ažuriranja,
• Baze podataka i strukture pohrane specifične za aplikacije,
• Sinkronizacije u oblaku,
• različita stanja uređaja i
• brze tehnološke promjene.

Stoga se često može pouzdano procijeniti mogu li se određeni podaci dobiti s pametnog telefona tek nakon pregleda određenog uređaja, verzije operativnog sustava, stanja uređaja i drugih tehničkih čimbenika.

Opća obećanja poput "Možemo u potpunosti pročitati bilo koji pametni telefon" ili "Vraćamo sve izbrisane poruke" ne odgovaraju LB Forensikovom shvaćanju kvalitete.

Profesionalna mobilna forenzika također mora priznati svoja tehnička ograničenja.

Forenzički softver je alat, a ne istina.

Ovisno o specifičnom istražnom zadatku, LB Forensik koristi različite profesionalne analize i forenzička rješenja.

Ovisno o slučaju i tehničkom zadatku, to uključuje ili može uključivati ​​sustave i alate iz sljedećih područja:

• Cellebrite Premium
• UFED,
• Cellebrite fizički analizator
• MOBILedit Forenzika,
• MEFF 3PRO,
• X-putevi,
• Belkasoft X,
• AXIOM magnet
• XRY
• FTK Imager
• i druge specijalizirane alate za forenzičku analizu.

Postojeća tehnologija je relevantna. Međutim, pitanje kako se koristi još je važnije.

Različiti programi mogu interpretirati, strukturirati ili prikazati isti skup podataka na različite načine. Neki se artefakti otkrivaju automatski. Drugi se moraju provjeriti ručno. U slučaju složenih ili kontradiktornih nalaza, usporedba s drugim alatima ili s temeljnim sirovim podacima može biti potrebna.

Stoga, LB Forensics djeluje na jednostavnom principu:

Izlaz softverskog programa u početku je tehnički rezultat. Tek stručnim ispitivanjem i klasifikacijom postaje pouzdan forenzički nalaz.

Stoga pitanje ne bi trebalo biti koji je forenzički program navodno "najbolji".

Ključni faktor je koji je alat prikladan za konkretno pitanje i jesu li rezultati dobiveni njime profesionalno interpretirani.

Automatski generirana forenzička izvješća ne zamjenjuju stručnu procjenu.

Moderne forenzičke platforme mogu generirati sveobuhvatna izvješća u kratkom vremenu.

Podaci o komunikaciji su sortirani. Kontakti su povezani. Slike su kategorizirane. Vremenske crte se automatski stvaraju. Podaci aplikacije se obrađuju. Artefakti datotečnog sustava prikazuju se u grafičkim sučeljima.

Ovo je od velike pomoći za praktičnu evaluaciju.

Problemi nastaju samo kada se automatski generirano izvješće zamijeni za stručnu procjenu.

Na primjer, program može naznačiti da je određena datoteka bila prisutna.

Ovo ne odgovara automatski na pitanje:

• tko je stvorio ovu datoteku,
• kako je ušla u sustav,
• je li namjerno otvoreno
• je li njegov sadržaj bio poznat određenoj osobi,
• je li bila uključena usluga sinkronizacije ili
• je li datoteka generirana automatiziranim postupkom.

Softver pruža podatke.

Forenzička evaluacija mora uzeti u obzir tehničke kontekste i alternativna objašnjenja.

Vremenske oznake su važne - ali se i dalje mogu pogrešno protumačiti.

U digitalnim istraživanjima, vremenska informacija često igra središnju ulogu.

Kada je datoteka kreirana?

Kada je promijenjeno?

Kada je sustav korišten?

Kada se komunikacija odvijala?

Kada je bio spojen vanjski uređaj za pohranu?

Takva pitanja se čine jednostavnima. Tehnički gledano, mogu biti puno složenija.

Digitalni sustavi pohranjuju različite vrste vremenskih oznaka. Njihovo značenje ovisi, između ostalog, o specifičnom operativnom sustavu, datotečnom sustavu, programu i vrsti podataka.

Osim toga, sljedeće može biti relevantno, na primjer:

• Postavke vremenske zone,
• Ljetno i zimsko vrijeme,
• različita sistemska vremena,
• Operacije kopiranja datoteka,
• Sinkronizacije,
• Sigurnosne kopije,
• Vremena servera,
• Usluge u oblaku i
• Formati pohrane specifični za aplikaciju.

Stoga se jedan vremenski žig ne bi trebao automatski izjednačavati sa specifičnom ljudskom radnjom.

Profesionalna forenzika pokušava usporediti vremenske informacije s drugim digitalnim artefaktima i time uspostaviti cjelokupni tehnički kontekst.

Snaga digitalne forenzike leži u rekonstrukciji veza.

Jedan digitalni nalaz nije uvijek presudan.

Pouzdana slika često se pojavljuje tek kada se nekoliko tehničkih tragova promatra zajedno.

Potencijalno kršenje sigurnosti podataka moglo bi, na primjer, ostaviti tragove u raznim područjima:

• Datoteka je obrađena u određeno vrijeme.
• Vanjski medij za pohranu bio je spojen na sustav.
• Sistemski artefakti dokumentiraju određene aktivnosti.
• Podaci iz aplikacije pružaju dodatne informacije.
• Daljnje informacije o vremenu odgovaraju utvrđenom slijedu događaja.

Samo korelacijom različitih izvora podataka može se stvoriti sveobuhvatna tehnička rekonstrukcija iz izoliranih informacija.

Ovdje je ključno još jedno ograničenje:

Računalo može dokumentirati aktivnost korisnika.

Međutim, nedvosmisleno pripisivanje ove aktivnosti određenoj fizičkoj osobi može biti zasebno pitanje.

To je još jedan razlog zašto forenzička procjena mora jasno razlikovati:

• tehnički određeno,
• tehnički izvedivo,
• moguće,
• nije jasno odredivo
• i nije uočljivo.

Izbrisani podaci: Što IT forenzika zaista može postići

Oporavak podataka jedna je od najpoznatijih tema u IT i mobilnoj forenzici.

Istovremeno, u ovom području postoje mnoga lažna očekivanja.

Izbrisana datoteka nije nužno trajno u stanju iz kojeg se može u potpunosti rekonstruirati.

Je li oporavak moguć ovisi o brojnim tehničkim čimbenicima.

To može uključivati, između ostalog:

• Vrsta medija za pohranu,
• datotečni sustav,
• operativni sustav,
• Model uređaja,
• Upravljanje memorijom,
• Šifriranje,
• TRIM ili procesi sakupljanja smeća,
• privremena upotreba uređaja,
• Prepisivanje bivših područja podataka,
• Pohrana podataka specifična za aplikaciju,
• Sigurnosne kopije i
• Sinkronizacije u oblaku.

Stoga postoje tri fundamentalno različite situacije:

Prvo: Izbrisani podaci se i dalje mogu u potpunosti ili djelomično oporaviti.

Drugo, stvarni sadržaj više nije dostupan, ali drugi digitalni artefakti i dalje pružaju tragove o ranijim događajima.

Treće: Više ne postoji tehnički pouzdan način za rekonstrukciju traženih informacija.

Treća opcija također može predstavljati tehnički ispravan rezultat ispitivanja.

Ugledna digitalna forenzika stoga razlikuje tehničku mogućnost od reklamnih obećanja.

Profesionalni forenzičari također moraju biti u stanju reći: Ovo se ne može dokazati.

Klijenti naručuju forenzičku istragu jer im je potrebna jasnoća.

Međutim, ta se jasnoća ne smije postići ignoriranjem nesigurnosti.

Digitalni podaci ne daju uvijek jasan odgovor.

Ponekad nedostaju informacije.

Ponekad postoji nekoliko tehnički prihvatljivih objašnjenja.

Ponekad je artefakt prisutan, ali se ne može pripisati nijednoj određenoj osobi.

Ponekad se hipoteza ne može ni potvrditi ni opovrgnuti.

U takvim slučajevima, dio je profesionalne odgovornosti upravo to dokumentirati.

Profesionalni forenzički stručnjak ne mora biti samo u stanju objasniti što se može dokazati. Također mora biti u stanju jasno prepoznati što se ne može dokazati na temelju dostupnih podataka.

Ova suzdržanost nije slabost.

To je preduvjet za osiguranje da tehnički nalazi ostanu odvojeni od pretpostavki.

Umjetna inteligencija mijenja digitalnu forenziku na dva načina istovremeno.

Umjetna inteligencija značajno će promijeniti IT forenziku.

S jedne strane, metode podržane umjetnom inteligencijom mogu pomoći profesionalcima da brže strukturiraju velike skupove podataka, klasificiraju dokumente, prepoznaju veze ili suze potencijalno relevantne informacije.

U istragama koje uključuju milijune datoteka ili velike komunikacijske arhive, takve bi metode mogle imati značajne praktične koristi u budućnosti.

Istovremeno, umjetna inteligencija mijenja i digitalni sadržaj koji je potrebno ispitati.

Slike se mogu umjetno generirati.

Glasovi se mogu sintetizirati.

Videozapisi se mogu manipulirati.

Dokumenti se mogu automatski kreirati ili mijenjati.

Komunikaciju mogu generirati AI sustavi.

To dodatno povećava važnost pitanja o podrijetlu, integritetu, kontekstu i tehničkom stvaranju digitalnih informacija.

Rezultati umjetne inteligencije ne smiju se prihvatiti kao činjenice bez provjere.

AI sustav može ukazati na anomalije.

Može dati prioritet sadržaju.

Može prepoznati obrasce.

Može pomoći u određenim analitičkim zadacima.

Međutim, algoritamska procjena nije automatski forenzički nalaz činjenice.

Posebno u slučajevima gdje su dokazi potencijalno relevantni, ključni rezultati moraju se provjeriti i profesionalno vrednovati korištenjem odgovarajućih početnih podataka.

Za LB Forensics, jedno je ograničenje stoga ključno:

Umjetna inteligencija može podržati rad forenzičara. Ne smije zamijeniti odgovornost za stručnu procjenu.

Zašto je upravljanje kvalitetom posebno važno u IT forenzici

Digitalna forenzika ne sastoji se od jednog koraka.

Od prvog kontakta do konačne dokumentacije, brojni procesi su isprepleteni.

To uključuje, između ostalog:

• Pojašnjenje zadatka,
• Definicija istraživačkog pitanja,
• Ispitivanje opsega istrage,
• Akvizicija i označavanje objekata koji se istražuju,
• Odabir prikladnih sigurnosnih metoda,
• forenzičko sigurnosno kopiranje podataka,
• Analiza,
• Evaluacija,
• Dokumentacija,
• Kontrola kvalitete,
• Zaštita povjerljivih informacija
• i dovršetak procesa.

LB Detektive GmbH posluje sa strukturiranim sustavom upravljanja kvalitetom. Prema navodima tvrtke, opseg certifikacije sustava upravljanja kvalitetom obuhvaća područja detektivskog rada, IT forenzike, protunadzora i usluga vještačenja.

Tehnički ispravna razlika je važna:

Certifikacija sustava upravljanja kvalitetom prema DIN EN ISO 9001 ne znači da je svaki pojedinačni rezultat ispitivanja automatski točan.

Ne jamči određeni ishod forenzičke istrage.

Predmet takvog sustava su organizacijske strukture i procesi, definirane odgovornosti, dokumentirani postupci, rješavanje odstupanja i kontinuirani razvoj upravljanja kvalitetom.

Upravo je ova organizacijska razina relevantna za digitalnu forenziku.

Osjetljive istrage ne bi trebale ovisiti o tome sjeća li se jedna osoba određenog koraka u procesu.

Odgovornosti i procesi moraju biti organizirani na ponovljiv način.

Sama organizacija ne zamjenjuje stručnu kompetenciju.

Dobro upravljanje kvalitetom ne može zamijeniti stručnost.

Stoga je potrebno razlikovati dvije razine:

kvaliteta organizacije i kvalifikacije profesionalno odgovornih osoba.

Generalni direktor Sven Lungershausen ima kvalifikacije iz područja IT forenzike i mobilnih sustava, između ostalog, te je certificiran kao stručnjak prema DIN EN ISO/IEC 17024 od strane tvrtke LB Detektive GmbH.

Norma ISO/IEC 17024 odnosi se na zahtjeve za tijela koja certificiraju osobe na temelju definiranih programa certificiranja.

Takvu osobnu certifikaciju stoga treba razlikovati od certifikacije sustava upravljanja prema normi ISO 9001.

Pojednostavljeno:

• ISO 9001 se odnosi na upravljanje kvalitetom organizacije.
• Osobna certifikacija prema normi ISO/IEC 17024 odnosi se na regulirani dokaz kompetencije unutar odgovarajućeg programa certifikacije.

Jedno ne zamjenjuje drugo.

Kvalificiranom stručnjaku potrebne su pouzdane organizacijske strukture.

Dobro organiziranoj tvrtki potrebni su ljudi koji mogu profesionalno procijeniti tehničke rezultate.

Forenzičko izvješće mora biti razumljivo čak i osobama koje nisu tehničke prirode.

Forenzičke istrage se često ne provode isključivo za IT stručnjake.

Namjeravani primatelji mogu biti, na primjer:

• Upravljanje,
• Korporativni odvjetnici,
• vanjski odvjetnici,
• Službenici za usklađenost,
• Službenik za zaštitu podataka,
• Odjeli za ljudske resurse,
• osiguranje,
• vlasti ili
• Privatne osobe.

Dobro izvješće o istrazi stoga mora istovremeno ispunjavati dva zahtjeva.

Mora biti tehnički precizan.

I mora jasno objasniti značaj tehničkih nalaza.

Klijent bi trebao moći vidjeti iz izvješća:

• koje je pitanje istraženo
• koji su predmeti istraživanja bili dostupni,
• koje su metode korištene,
• koji su nalazi napravljeni,
• koja su tehnička ograničenja postojala,
• kakvi se zaključci mogu izvući iz ovoga
• i gdje leže granice njegove valjanosti.

Složenost se može objasniti.

Ne bi se trebalo skrivati ​​iza što većeg broja tehničkih termina.

Digitalna forenzika zahtijeva kontrolirano rukovanje osjetljivim podacima.

Uređaj pregledan forenzički često sadrži znatno više informacija nego što je relevantno za istragu.

Na primjer, na računalu ili pametnom telefonu može se pronaći sljedeće:

• poslovna komunikacija,
• privatne poruke,
• Podaci o kupcima,
• Osobni podaci,
• Poslovne tajne,
• Dokumenti,
• Pristup informacijama
• i druge povjerljive podatke.

Tehnička mogućnost pristupa informacijama stoga ne znači automatski da svaka tehnički dostupna informacija treba postati dio istrage.

Opseg istrage trebao bi se temeljiti na specifičnom zadatku i relevantnom pravnom okviru.

Posebno u internim istragama tvrtki, pitanja zakona o zaštiti podataka, radnog prava i, gdje je primjenjivo, zakona o radnim odnosima mogu biti relevantna.

LB Forensics ne zamjenjuje individualni pravni savjet. U pravno složenim slučajevima, konzultacije s pravnim savjetnicima klijenta mogu biti potrebne prije ili tijekom tehničke istrage.

Kada sama IT forenzika nije dovoljna: Povezivanje s protunadzorom i istragama

Složeni sigurnosni incidenti ne mogu se uvijek jasno pripisati jednom području stručnosti.

Sumnjivo curenje informacija može u početku pružiti tragove na računalu, na primjer.

Nakon toga, pametni telefon može postati relevantan.

Sljedeći korak mogao bi biti istraživanje je li se povjerljivim informacijama pristupilo izvan IT sustava.

To može značiti da su za jedan slučaj potrebne različite istražne discipline.

Stoga unutar LB Grupe mogu surađivati ​​različiti odjeli – ovisno o specifičnoj situaciji:

• LB Forenzika za IT forenziku, Računalna forenzika i mobilnu forenziku,
• LB obrana od prisluškivanja za tehnički protunadzor i istrage o mogućem tehničkom nadzoru,
• LB detektivska agencija za klasične poslovne i privatne istrage, kao i za istražne mjere vezane uz činjenice.

LB Grupa je robna marka tvrtke LB Detektive GmbH . Pojedinačni odjeli ne postaju zasebne tvrtke, već tvore specijalizirana servisna područja pod organizacijskim kišobranom tvrtke LB Detektive GmbH.

Za klijente, ovaj pristup može biti posebno koristan kada slučaj kombinira digitalna, tehnička i tradicionalna istražna pitanja.

Kako klijenti mogu prepoznati profesionalne IT forenzičare

Svatko tko bira pružatelja usluga digitalne forenzike ne bi trebao biti impresioniran isključivo logotipima softvera, tehničkim superlativima ili obećanjima o navodno potpuno oporavljivim podacima.

Konkretna pitanja su informativnija.

1. Tko snosi profesionalnu odgovornost?

Treba biti jasno tko je odgovoran za istragu i evaluaciju te koje stručne kvalifikacije ta osoba posjeduje.

2. Kako se nabavljaju predmeti istraživanja?

Profesionalni pružatelj usluga trebao bi biti u mogućnosti objasniti kako se digitalni uređaji i nosači podataka dokumentiraju, osiguravaju i s njima se rukuje.

3. Kako se kontrolira integritet podataka?

Ovisno o metodi izrade sigurnosnih kopija, trebale bi postojati odgovarajuće mjere za otkrivanje promjena i omogućavanje praćenja rukovanja izvornim i radnim podacima.

4. Je li svako izdanje softvera usvojeno bez provjere?

Profesionalna forenzika zahtijeva profesionalnu procjenu automatski generiranih rezultata.

5. Jesu li tehnička ograničenja izričito navedena?

Nitko ne može ozbiljno jamčiti da se svi izbrisani podaci mogu oporaviti ili da se svaki pametni telefon može u potpunosti analizirati.

6. Je li istraga usmjerena na određeno pitanje?

Ciljana istraga je nešto drugačije od neograničene pretrage svih dostupnih podataka.

7. Je li proces istrage dokumentiran?

Klijent bi kasnije trebao biti u stanju razumjeti kako je tehnički nalaz izveden iz predmeta istraživanja.

8. Može li pružatelj usluga izraziti nesigurnost?

Pretvaranje svake tehničke informacije u konačnu izjavu ne znači automatski rad s određenom preciznošću.

Često je suprotno istinito.

Budućnost IT forenzike ne određuje broj programa.

Forenzički sustavi postaju sve moćniji.

Pametni telefoni istovremeno postaju sigurniji.

Šifriranje se nastavlja razvijati.

Infrastrukture u oblaku postaju sve složenije.

Umjetna inteligencija moći će brže analizirati veće količine podataka, a istovremeno će stvarati nove mogućnosti za manipulaciju.

Tvrtke generiraju sve više i više digitalnih informacija.

To također mijenja ulogu forenzičara.

Njegova vrijednost će sve manje ležati u pukom čitanju podataka s uređaja.

Ključni zadatak bit će identificirati iz složenih skupova podataka informacije koje su tehnički relevantne za određeno pitanje, provjeriti ih na razumljiv način i ispravno ograničiti njihov značaj.

Tehnologija stvara mogućnosti pristupa.

Metodologija stvara sljedivost.

Stručnost stvara evaluaciju.

Dokumentacija stvara provjerljivost.

LB Forensicsovo razumijevanje kvalitete

LB Forensik stoga ne definira profesionalnu digitalnu forenziku jednim alatom ili davanjem najspektakularnijih mogućih izjava.

Iz naše perspektive, ključno je nekoliko međusobno povezanih razina:

• jasno definirano istraživačko pitanje,
• odgovarajuća forenzička sigurnosna strategija,
• kontrolirano rukovanje istraživačkim objektima,
• profesionalni forenzički alati,
• profesionalna analiza umjesto netestiranog softverskog rezultata,
• razumljivu dokumentaciju,
• zaštita osjetljivih podataka,
• jasna razlika između nalaza i interpretacije,
• otvoreno komunicirana tehnička ograničenja,
• kvalificirana profesionalna odgovornost
• i strukturirane organizacijske procese.

LB Forensics je dio LB Grupe. LB Grupa je robna marka tvrtke LB Detectives GmbH, sa sjedištem u Esslingenu na Neckaru.

Pod ovim organizacijskim kišobranom objedinjena je specijalizirana stručnost iz digitalne forenzike, mobilne forenzike, stručnih procjena, istražnog rada i tehničkog protunadzora.

To omogućuje složenim istraživanjima da se usredotoče na istraživačko pitanje, umjesto da budu ograničena na jedan alat ili područje stručnosti.

Digitalni dokaz mora moći objasniti kako je nastao.

Na kraju digitalne istrage često se postavlja naizgled jednostavno pitanje:

Što je pronađeno?

Međutim, ovo pitanje nije dovoljno za profesionalnu IT forenziku.

Jednako važno je:

Kako je došlo do ovog otkrića?

Koji je objekt istraživanja bio prisutan?

Kako je napravljena sigurnosna kopija podataka?

Koji su alati korišteni?

Koji su tehnički artefakti bili ocijenjeni?

Koja su alternativna objašnjenja razmatrana?

Gdje su granice ove tvrdnje?

Može li kvalificirana treća strana razumjeti proces istrage?

Samo kada se na takva pitanja može odgovoriti na razumljiv način, izdvajanje podataka rezultira pouzdanom forenzičkom istragom.

Budućnost digitalne forenzike stoga ne pripada automatski tvrtki koja izvlači najviše podataka ili ima najduži popis programa za analizu.

Pripada onima koji mogu objasniti odakle nalaz dolazi, kako je provjeren i kakvu tvrdnju zapravo iznosi.

Jer se digitalni podaci mogu kopirati u roku od nekoliko sekundi.

Forenzička kvaliteta postiže se samo kontroliranim procesima, tehničkom kompetencijom, razumljivom metodologijom i odgovornom profesionalnom procjenom.

Često postavljana pitanja o IT forenzici, digitalnim dokazima i forenzici kredita

Što je digitalna forenzika?

Digitalna forenzika bavi se metodičnim osiguranjem, ispitivanjem, analizom i procjenom digitalnih informacija. Predmeti istraživanja mogu uključivati ​​računala, pametne telefone, tablete, medije za pohranu, poslužitelje i druge digitalne sustave. Cilj nije samo prikupiti što više podataka, već provesti ponovljivu istragu o određenom pitanju.

Koja je razlika između IT forenzike i mobilne forenzike?

IT forenzika je krovni pojam za istraživanje digitalnih sustava i podataka. Mobilna forenzika usmjerena je posebno na pametne telefone, tablete i mobilne operativne sustave. Zbog kriptografije uređaja, struktura aplikacija i različitih sigurnosnih mehanizama, mobilna forenzika zahtijeva specijalizirane metode i alate.

Mogu li se izbrisani podaci uvijek oporaviti?

Ne. Mogu li se izbrisani podaci u potpunosti, djelomično ili uopće ne oporaviti ovisi o čimbenicima kao što su uređaj, medij za pohranu, operativni sustav, datotečni sustav, enkripcija i bilo kakva posredna upotreba. Stoga je pouzdana izjava često moguća tek nakon tehničkog pregleda.

Mogu li se oporaviti izbrisane poruke s WhatsAppa ili Messengera?

To je moguće u određenim slučajevima, ali se ne može jamčiti u svim slučajevima. Ključni su određeni pametni telefon, operativni sustav i verzija aplikacije, postojeći lokalni podaci, sigurnosne kopije, sinkronizacija, enkripcija i drugi tehnički čimbenici.

Što znači forenzička sigurnosna kopija podataka?

Forenzičko očuvanje podataka uključuje korištenje odgovarajućih metoda za osiguranje relevantnih digitalnih informacija na način da izvorni podaci ostanu što je moguće zaštićeniji, a naknadni istražni koraci mogu se dokumentirati na sljediv način. Specifična metoda ovisi o određenom predmetu istrage.

Koji je značaj hash vrijednosti u IT forenzici?

Hash vrijednosti mogu se koristiti za provjeru integriteta digitalnih podataka. Mogu pomoći u provjeri je li se određeni skup podataka promijenio između dva vremenska trenutka. Međutim, one ne zamjenjuju pravilno očuvanje dokaza ili profesionalnu procjenu istrage.

Što znači lanac nadzora?

U forenzičkom kontekstu, lanac čuvanja odnosi se na sljedivu dokumentaciju o rukovanju predmetom istrage ili dokazom. To može uključivati ​​predaju, pristup, osiguranje, obradu i druge relevantne radne korake.

Koji softver koristi LB Forensics?

Ovisno o uređaju, vrsti podataka i istražnom pitanju, mogu se koristiti različiti specijalizirani sustavi. Na stranicama usluga LB Forensics navedeni su, između ostalog, Cellebrite Premium, UFED, Physical Analyzer, MOBILedit Forensic, MEFF 3PRO, X-Ways, Belkasoft X, Magnet AXIOM, XRY i drugi forenzički alati. Koje je rješenje prikladno u određenom slučaju ovisi o tehničkim zahtjevima.

Smatra li se već rezultat forenzičkog softvera dokazom?

Ne automatski. Softver može izdvojiti i prikazati digitalne artefakte. Međutim, njihovo značenje mora biti tehnički procijenjeno. Ključni čimbenici uključuju podrijetlo artefakta, njegovu pouzdanost, alternativna objašnjenja i koji su zaključci zapravo valjani.

Može li umjetna inteligencija zamijeniti IT forenzičara?

Umjetna inteligencija može pomoći u strukturiranju i analizi velikih skupova podataka. Međutim, u slučajevima koji uključuju potencijalno dokazne nalaze, rezultate treba profesionalno pregledati i procijeniti unutar njihovog tehničkog konteksta. Odgovornost za forenzičke zaključke ne bi se trebala prenositi na automatizirani sustav bez provjere.

Kakve veze ima kontranadzor s IT forenzikom?

U složenim slučajevima curenja informacija, relevantni mogu biti digitalni sustavi, kao i fizički prostori, pametni telefoni, komunikacijski uređaji ili druge tehničke komponente. U takvim slučajevima, IT forenzika i tehnički protunadzor mogu istražiti različite aspekte istog sigurnosnog problema.

Što je LB Grupa?

LB Grupa je robna marka tvrtke LB Detektive GmbH. Specijalizirana područja usluga kao što su LB Forensics, LB Private Investigation i LB Counter-Eavesdropping ujedinjena su pod okriljem LB Grupe. Ugovorna i organizacijska osnova je LB Detektive GmbH.

Što je LB forenzika?

LB Forensics je specijalizirani odjel LB Grupe za digitalnu forenziku, IT forenziku i mobilnu forenziku. LB Grupa je robna marka tvrtke LB Detektive GmbH sa sjedištem u Esslingenu na Neckaru.

Tko snosi profesionalnu odgovornost?

Sven Lungershausen je jedan od direktora tvrtke LB Detektive GmbH. Tvrtka ga identificira kao certificiranog stručnjaka za IT forenziku i mobilne sustave, kao i certificiranog stručnjaka prema normi DIN EN ISO/IEC 17024.

Dokazuje li ISO 9001 certifikat da je svako stručno mišljenje točno?

Ne. Certifikacija prema DIN EN ISO 9001 odnosi se na sustav upravljanja kvalitetom i ne smije se miješati s jamstvom točnosti pojedinog tehničkog nalaza ili stručnog mišljenja. Za profesionalnu kvalitetu određenog procesa, kvalifikacija, metodologija, istraživanje, evaluacija i dokumentacija također su ključni.

Za koga LB Forensics radi?

Digitalne forenzičke istrage mogu biti relevantne za tvrtke, odvjetničke tvrtke, organizacije, vladine agencije (u okviru njihovih mandata) i privatne osobe. Koja je vrsta istrage prikladna i izvediva mora se odrediti na temelju specifičnih okolnosti svakog slučaja.

Digitalne anomalije treba profesionalno procijeniti što je ranije moguće.

U slučaju potencijalne povrede podataka, sumnjive aktivnosti na računalu ili pametnom telefonu, izbrisanih informacija, kibernetičkog incidenta ili drugih digitalnih anomalija, čak i daljnje rukovanje pogođenim sustavom može utjecati na postojeće digitalne tragove.

Stoga, prije bilo kakvih neovisnih promjena, novih instalacija, resetiranja ili opsežnog pristupa, može biti korisno prvo razjasniti koje su sigurnosne mjere prikladne za određeni sustav.

LB Forensics – digitalna forenzika unutar LB Grupe, brenda tvrtke LB Detectives GmbH.

Fokus je na provjerljivoj sigurnosnoj kopiji podataka, tehničkoj analizi, stručnoj procjeni i razumljivoj dokumentaciji digitalnih pitanja.