DIGITALNI DOKAZI -
forenzički alati i standard za
njihovo prikupljanje i pohranu
ZIH d.o.o.
Nataša Kučeković, dipl.inf.
dr.sc. Silvana Tomić Rotim
Zlatibor, 24. – 26. travnja 2014.
Sadržaj
• Prikupljanje dokaza
• ISO/IEC 27037:2012
• Forenzički alati
Računala
• Stolno računalo = radna stanica):
– ne može se lako oduzeti
– lagano otvaranje kućišta i izdvajanje komponenti
• Laptop, netbook i notebook:
– računalo, monitor, miš i tipkovnica su integrirani
– jednostavan za transport
– teško je izdvojiti komponente
Digitalna istraga
• Korištenje općeg znanja i specijaliziranih
tehnika:
– za otkrivanje digitalnih informacija koje
prolaze ili su pohranjene na elektronske
medije
– za otkrivanje prekršaja (neautoriziranih radnji)
Domene digitalne istrage
• Cyber istrage
• Upravljanje incidentima
• Računalna forenzika – zlouporaba
računala
Načela u forenzici
• Najbolji dokaz
• Minimalni upadi
• Minimalan napor
• Minimalan prekid
• Transparentnost
• Kontinuitet - procedure
• Misija - cilj
• Nepristranost
• NAJVAŽNIJE: optimalna dokumentacija
Bilješke
Evidentiranje observacija na mjestu događaja
koje uključuju:
– datum i sat
– opis događaja i uočenih činjenica
– poduzete aktivnosti
– način rukovanja oduzetim
medijima
- pohrana bilješki
Prikupljanje elektroničkih
dokaza- mogućnosti
• Ukoliko medij koji se ispituje:
– Ne sadrži informacije koje se traže:
• Povratak medija
– Sadrži najmanje jedan dokument koji se odnosi na
nalog:
• Zaplijeniti original
• Zaplijeniti klon originala
• Zaplijeniti image originala
• Napraviti ciljanu kopiju relevantnih podataka
• Napravite proširenu kopiju
Prikupljanje elektroničkih
dokaza – R-OCITE
• R RETURN
• O ORIGINAL
• C CLONE
• I IMAGE
• T TARGETED (kopija)
• E EXTENSIVE (kopija)
Zaplijena originala
• Prednosti:
– Najbolji dokaz
– Pristup cijelom okruženju sumnjivog medija
– Skraćuje vrijeme provedeno na terenu
• Nedostaci:
– Prekid poslovanja
– Treba planirati vrijeme za izradu klona kako bi se
poslovanje nastavilo
– Oduzimanje podataka izvan opsega
Zaplijena klona
• Prednosti:
– Drugi najbolji dokaz
– Cijelo sumnjivo okruženje je dostupno
• Nedostaci:
– Prekid poslovanja
– Potrebni dodatni mediji
– Oduzimanje podataka izvan opsega
Zaplijena image-a
• Prednosti:
– Drugi najbolji dokaz uz klon
– Mogućnost ponovne uspostave i pokretanja na
istom fizičkom mediju
• Nedostaci:
– Potreban medij za pohranu dovoljno velik za
stvaranje image-a
– Oduzimanje podataka izvan opsega
Zaplijena ciljane kopije
• Prednosti:
– Smanjenje vremena za izvlačenje podataka u laboratoriju
– Smanjenje upada u sustav
– Maksimalno poštivanje privatnosti
– Original se vraća u poslovanje
• Nedostaci:
– Izostavljanje nekih bitnih informacija
– Nema ponovnog ispitivanja originala
– Potreban medij za kopiju informacija
Zapljena proširene kopije
• Prednosti:
– Potrebno je manje vremena u odnosu na kloniranje ili
imaging
– Nema prekida aktivnosti
• Nedostaci:
– Potrebno je više vremena od ciljane kopije
– Ograničen prostor na mediju za pohranu
Analiza procesa
Forenzički standardi
• ISO/IEC 27037 Identifikacija, prikupljanje, nabava i
čuvanje digitalnih dokaza
• ISO/IEC 27041 Osiguravanje prikladnosti i
adekvatnosti metoda istraživanja
• ISO/IEC 27042 Analiza i interpretacija digitalnih
dokaza
• ISO/IEC 27043 Principi i procesi istraživanja
ISO/IEC 27037:2012
5. Pregled
6. Ključne komponente identifikacije,
prikupljanja, stjecanje i očuvanje
digitalnih dokaza
7. Primjeri identifikacije, prikupljanja,
nabave i čuvanja dokaza
Ne uključuje analizu dokaza.
Ključni resursi
• Voditelj laboratorija
• Odgovorna osoba za odgovor na incidente
• DEFR (Digital Evidence First Responder)
• DES (Digital Evidence Specialist)
Opseg
• Digitalni mediji za pohranu (HD, diskete…)
• Mobilni telefoni, memorijske kartice
• Mobilni navigacijski sustav
• Video kamere (uključujući CCTV)
• Standardno računalo s mrežnim priključkom
• Mreže bazirane na TCP/IP i drugim protokolima
• Uređaji sa sličnim funkcijama
5. Pregled
• Kontekst za prikupljanje digitalnih dokaza
• Načela digitalnih dokaza
• Zahtjevi za rukovanje digitalnim dokazima
• Proces rukovanja digitalnim dokazima
5.1. Kontekst za prikupljanje
digitalnih dokaza
• Interna ili externa potreba za dokazima
• Proces prioriteta - vrijednost i redoslijed
kojim potencijalni digitalni dokazi trebaju
biti prikupljeni
5.2. Načela digitalnih dokaza
Tri su osnovna načela upravljanja digitalnim dokazima:
relevantnost, pouzdanost, dostatnost
• Relevantnost – dokazati da su stečene informacije relevantne
za istragu
• Pouzdanost – svi procesi koji se koriste za rukovanje
dokazima trebaju se moći pregledati i ponoviti
• Dostatnost – DEFR treba osigurati dovoljno informacija za
istragu
5.3. Zahtjevi za rukovanje
digitalnim dokazima
• Mogućnost provođenja revizije
• Ponovljivost
• Obnovljivost
• Opravdanost
Mogućnost provođenja
revizije
• Neovisni procijenitelj ili druge ovlaštene zainteresirane strane
trebaju biti u mogućnosti procijeniti rad DEFR-a i DES-a
• DEFR i DES trebaju biti u mogućnosti opravdati proces
donošenja odluka o pokretanju aktivnosti
• Procesi izvođeni od strane DEFR ili DES trebaju biti dostupni
za neovisnu procjenu
Ponovljivost
• Utvrđuje se kada su isti rezultati testiranja stvoreni pod
sljedećim uvjetima:
• korištenjem istih procedura i metoda mjerenja
• korištenjem istih instrumenata i pod istim uvjetima
• mogu se ponoviti u bilo kojem trenutku nakon originalnog
testa
• DEFR bi trebao biti u mogućnosti provesti sve dokumentirane
procese i provesti kontrolu kvalitete
Obnovljivost
• Utvrđuje se kada su isti rezultati testiranja stvoreni pod
sljedećim uvjetima:
• Korištenje iste metode mjerenja
• Korištenje različitih instrumenata i pod različitim
uvjetima
• Mogu se obnoviti u bilo kojem trenutku nakon
originalnog testa
Opravdanost
• DEFR bi trebao biti u mogućnosti opravdati sve aktivnosti i
metode koje se koriste u rukovanju potencijalnim digitalnim
dokazima
• opravdanje se može postići demonstrirajući da je odluka bila
najbolji izbor za dobivanje svih digitalnih dokaza
• Organizacija treba zaposliti DEFR ili DES koji posjeduje
potrebne vještine i kompetencije
5.4. Proces rukovanja
digitalnim dokazima
• Identifikacija
• Prikupljanje
• Nabava
• Zaštita
Procedura za osiguravanje integriteta i pouzdanosti
izvora dokaza.
Identifikacija
• opipljivi i neopipljivi dokazi
• veza s incidentom
• identifikacija digitalnih medija za pohranu podataka i
uređaja za obradu koji mogu sadržavati potencijalne
digitalne dokaze
• Ne mogu se sve vrste medija za pohranu lako
identificirati i locirati – cloud computing
Prikupljanje
• uređaji koji mogu sadržavati potencijalne digitalne dokaze
su uklonjeni s izvornog mjesta u laboratorij ili druge
kontrolirane uvjete
• dokumentiranje cijelog pristupa i prikupljanje svih
materijala koji bi se mogli odnositi na potencijalne
digitalne dokaze
• „power off” i „power on” procedure
• pakiranje dokaza za transport
Evidence bag
Antistatic bag
Nabava
• izrada kopije digitalnih dokaza i
dokumentiranje korištene metode
• odabir alata
• testiranje provedene metode (original = kopija)
• zakonodavstvo – oduzimanje medija u
prisustvu vlasnika
Čuvanje
• Digitalni dokaz treba sačuvati kako bi se osigurala
njegova korisnost u istrazi
• Očuvati integritet dokaza
• DEFR mora zaštititi dokaze od promjena
• Osigurati zaštitu povjerljivosti dokaza
6. Ključne komponente identifikacije,
prikupljanja, nabave i čuvanja digitalnih
dokaza • Sljedivost
• Mjere opreza na mjestu incidenta
• Uloge i odgovornosti
• Sposobnosti
• Oprezno rukovanje
• Dokumentacija
• Izvještavanje
• Određivanje prioriteta prikupljanja i usvajanja
• Održavanje potencijalnih digitalnih dokaza
Sljedivost
• Kronologija kretanja i upravljanja digitalnim dokazima
• Zapis – dokument koji detaljno opisuje sljedivost, sadrži
imena odgovornih osoba za upravljanje dokazom kao i
sljedeće informacije:
• ID dokaza,
• Tko je pristupio dokazu,
• Tko je preuzeo dokaz iz objekta za čuvanje dokaza.
• Životni ciklus dokumenata i zapisa
Mjere opreza na mjestu
incidenta
Potrebno je osigurati lokaciju gdje se prikupljaju dokazi:
• Utvrditi odgovorne osobe na lokaciji
• Osigurati da su osobe udaljene od uređaja
• Identificirati sve koji imaju pristup lokaciji
• Identificirati sve koji su povezani s incidentom
• Ne gasiti / ne paliti uređaje
Osobne mjere opreza
• Provođenje procjene rizika sigurnosti osoba prije
početka procesa, razmatrajući:
• U koje vrijeme će proces biti proveden
• Da li proces može biti izoliran od promatrača
• Ima li oružja u okolini
• Može li išta u blizini uzrokovati fizičku štetu
(konfiguracija)...
Prepoznati prijetnje i ranjivosti
Potencijalni digitalni dokaz
• DEFR bi trebao biti oprezan prilikom korištenja specifičnih alata
za prikupljanje dokaza
• Procjena rizika – potencijalni utjecaj na istragu
• Metoda prikupljanja dokaza
• Potrebna oprema na lokaciji
• Potreba udaljenog pristupa
6.3. Uloge i odgovornosti
• Uloga DEFR-a:
• identifikacija
• prikupljanje
• nabava
• zaštita digitalnih dokaza, osiguravajući integritet dokaza
• Uloga DES-a:
• pružanje tehničke potpore i specijalizirane stručnosti
DEFR-u
6.4. Kompetencije
• DEFR i DES trebali bi posjedovati ključne tehničke
i pravne sposobnosti te pokazati da su obučeni za
pravilno rukovanje digitalnim dokazima
• Kriteriji definirani od strane pravosuđa
• Sistematizacija radnih mjesta
6.5. Oprezno rukovanje
• Izbjegavati bilo kakve radnje koje bi uzrokovale krađu /nestanak
potencijalnih digitalnih dokaza koji su pohranjeni
• Kontrola pristupa
• DEFR ne bi trebao pristupati digitalnih uređajima, osim ako
nema potrebne sposobnosti i ovlaštenja, te koristi pouzdane i
provjerene procese
• Svaka aktivnost treba biti dokumentirana
• Postavke vremena i datuma – sinkronizacija satova
• Dokumentirati sve što je vidljivo na ekranu uređaja
• Dokumentirati pomicanje uređaja
• Dokumentirati sve identifikatore uređaja i pripadajuću
opremu
Procedura upravljanja dokumentacijom i zapisima
6.6. Dokumentacija
• Specifičnosti digitalnih dokaza
• Specifičnosti osoblja
• Incidenti u stvarnom vremenu
• Ostalo informiranje
Procedura informiranja
6.7. Informiranje
• Potrebno je organizirati sastanke za informiranje DEFR-a o
detaljima koji se odnose na istragu, smjernice za istragu:
• Tip incidenta
• Vrijeme
• Plan istrage
• Definiranje mjesta čuvanja dokaza
• Alati
• Dokumentacija
• Zakonska regulativa
• Zapisnik sa sastanka
Specifičnosti digitalnih dokaza
• Uloge i odgovornosti
• Određivanje tima (tehnički stručnjaci)
• Awareness
Specifičnosti osoblja
• Istragu planirati unaprijed - proces
• Informirati tim o početnim strategijama
• Upravljanje incidentima - procedura
Incidenti u stvarnom vremenu
Ostale informacije trebale bi uključivati:
• Detalje o nalogu za pretres,
• Pravne aspekte,
• Vremenski okvir istrage,
• Informacije o logistici,
• Potrebna oprema,
• Potencijalni sukobi interesa.
Ostalo izvještavanje
• Razumijevanje razloga za prikupljanje potencijalnog
digitalnog dokaza
• Prioritet se određuje prema postojanosti podataka
(gubitak napajanja može izbrisati podatke)
• DEFR bi trebao posjedovati znanje o određivanju
prioriteta - proces
6.8. Odrediti prioritet
prikupljanja dokaza
• Zaštita potencijalnih digitalnih dokaza
• Pakiranje digitalnih uređaja i potencijalnih digitalnih
dokaza
• Transport potencijalnih digitalnih dokaza
6.9. Zaštita potencijalnih
digitalnih dokaza
• Svi prikupljeni i stečeni digitalni dokazi trebaju biti
zaštićeni od gubitka ili krađe te pohranjeni na lokaciji za
čuvanje dokaza koja primjenjuje fizičke kontrole
sigurnosti
• Očuvanje integriteta i povjerljivosti
Čuvanje potencijalnih digitalnih
dokaza
• Popunjavanje popratne omotnice
• Labeliranje
• Zaštita od lomova
Pakiranje digitalnih uređaja i
potencijalnih digitalnih dokaza
• dokazi ne smiju biti ostavljeni bez nadzora tijekom
procesa transporta
• ukoliko dokaze ne transportira DEFR ili DES, preporuča
se korištenje enkripcije
• Zaštita tajnosti podataka
Transport potencijalnih
digitalnih dokaza
Autopsy alat
• Autopsy Forensic Browser je alat koji pruža
grafičko sučelje za softverski paket „Sleuth Kit” i
koristi se za izvršavanje analize digitalnih
istraga.
• Postoji besplatna inačica alata.
• Funkcionalnost alata temelji se na HTML
tehnologiji.
• Autopsy pruža pregled izbrisanih podataka i
strukture podataka.
Drugi alati koji se koriste u
forenzici • PDBlock – spriječava pisanje na originalni disk tijekom
forenzičkog kopiranja diska,
• DriveSpy – alat koji se temelji na DOS operativnom sustavu,
omogućava stvaranje forenzičke kopije diska, obnavljanje
izbrisanih podataka i nekorištenih dijelova sektora te analizu
korištenja kriptografskog sažetka
• FTK Imager – forenzičko kopiranje,
• SnapBack Exact – forenzičko kopiranje diska,
• DiskSig – provjeravanje forenzičkih kopija diska,
• GetFree – kopiranje diska, spremanje na drugi medij i analiza,
• Ontrack – program za povrat izbrisanih podataka s diska,
• AcoDisk – program za povrat podataka s optičkog medija,
• MediaMerge – koristi se za povrat podataka s optičkog medija i
HD-a.
Autopsy - otvaranje
Autopsy - otvaranje
Autopsy - otvaranje
Autopsy - otvaranje
Autopsy - otvaranje
Autopsy - otvaranje
Autopsy - report
Recommended
