Το ερώτημα προηγείται του εργαλείου
Το «βρείτε τι συνέβη» χρειάζεται ελέγξιμα ερωτήματα. Προσπελάστηκε έγγραφο; Έστειλε ο λογαριασμός συγκεκριμένη οδηγία; Τι προηγήθηκε της διακοπής; Ορίστε πρόσωπα, συστήματα, περίοδο και την απόφαση που θα υποστηρίξει η απάντηση. Έτσι η συλλογή παραμένει ανάλογη του σκοπού και η πρόσθετη εργασία αιτιολογείται.
Διατήρηση, συλλογή και ανάλυση
Η διατήρηση κρατά διαθέσιμο σχετικό υλικό. Η συλλογή δημιουργεί το σύνολο εξέτασης. Η ανάλυση το ερμηνεύει σε σχέση με το ερώτημα. Είναι συνδεδεμένες δραστηριότητες με διαφορετικές αποφάσεις και αρχεία. Ζητήστε τι συλλέγεται, γιατί ταιριάζει η μέθοδος, ποιες μεταβολές προκαλεί και πώς διατηρείται η ιχνηλασιμότητα. Ένα στιγμιότυπο οθόνης μπορεί να βοηθά χωρίς να αποτυπώνει όλες τις ιδιότητες της αρχικής εγγραφής.
Εξουσιοδότηση, αποδέκτες και χειρισμός
Πριν από οποιαδήποτε πρόσβαση, προσδιορίστε το πρόσωπο ή τον φορέα που δικαιούται να την εξουσιοδοτήσει και τις οδηγίες νομικών συμβούλων ή υπευθύνων προστασίας δεδομένων. Ορίστε τους αποδέκτες της αναφοράς, τη διαδικασία ασφαλούς ανταλλαγής και τον χειρισμό άσχετου ευαίσθητου υλικού. Η συνύπαρξη προσωπικών και εταιρικών πληροφοριών απαιτεί σαφή όρια. Το μητρώο της υπόθεσης πρέπει να συνδέει κάθε αντικείμενο με την πηγή, το πλαίσιο συλλογής και τον μεταγενέστερο χειρισμό του, ώστε ένας άλλος αξιολογητής να μπορεί να παρακολουθήσει το ιστορικό του.
Συσχέτιση και εναλλακτικές εξηγήσεις
Χρονοσφραγίδα, IP ή όνομα χρήστη σπάνια αρκούν. Αυτόματες εργασίες, κοινοί λογαριασμοί, ζώνες ώρας και ελλιπή logs επηρεάζουν την ερμηνεία. Η έκθεση εξηγεί πώς οι πηγές στηρίζουν το χρονολόγιο και εξετάζει εναλλακτικές. Διακρίνει δραστηριότητα λογαριασμού από απόδοση σε πρόσωπο και παρατηρημένη πρόσβαση από ισχυρισμό πρόθεσης ή κοινοποίησης.
Οι περιορισμοί αποτελούν μέρος του αποτελέσματος
Εξετάστε ποιες πηγές δεν ήταν διαθέσιμες, ποιες περίοδοι δεν καλύπτονται και ποιες μέθοδοι δεν ήταν δυνατό να εφαρμοστούν. Τα διαγραμμένα δεδομένα μπορεί να μην είναι ανακτήσιμα, ενώ μια κρυπτογραφημένη ή κατεστραμμένη συσκευή μπορεί να περιορίσει την εξέταση. Η επισκόπηση ψηφιακών τεκμηρίων του NIST περιγράφει τη σημασία της αξιόπιστης συλλογής και τις προκλήσεις της ποικιλίας των πηγών. Μια έκθεση που δηλώνει καθαρά ότι ένα ερώτημα παραμένει αναπάντητο μπορεί να είναι χρησιμότερη από ένα ατεκμηρίωτο οριστικό συμπέρασμα.
Παραδοτέα που μπορείτε να αξιοποιήσετε
Συμφωνήστε σύνοψη για τη διοίκηση, ευρήματα με παραπομπές, χρονολόγιο, σχετικά τεκμήρια και ενότητα τεχνικών μεθόδων κατάλληλη για την υπόθεση. Ορίστε πώς θα παραδοθεί και θα διατηρηθεί το υποστηρικτικό υλικό. Αν η διερεύνηση αφορά νομική διαφορά, ο νομικός σύμβουλος πρέπει να καθοδηγεί τις διαδικαστικές απαιτήσεις. Αν υποστηρίζει την ανάκαμψη, συνδέστε τις συστάσεις με υπευθύνους και βήματα επαλήθευσης. Η αξία βρίσκεται στις αποφάσεις που μπορούν να υποστηρίξουν τα τεκμήρια.
Περισσότερες πληροφορίες
Από τη γνώση στην εφαρμογή
Εγκληματολογική εξέταση υπολογιστών, κινητών, αποθηκευτικών μέσων και αντιγράφων ασφαλείας, με τεκμηριωμένη συλλογή και ανάλυση.
Forensics υπολογιστών & κινητών