Ψηφιακή εγκληματολογία υπολογιστών, κινητών & μέσων

Ερώτημα, συσκευή και εξουσιοδότηση

Η αποχώρηση εργαζομένου, η απώλεια φορητού υπολογιστή και ένα αμφισβητούμενο έγγραφο απαιτούν διαφορετική προσέγγιση. Ορίζουμε πρόσωπα, συσκευές, λογαριασμούς και χρονικό διάστημα πριν επιλέξουμε μέθοδο εξέτασης. Καταγράφουμε ποιος εξουσιοδοτεί την πρόσβαση, ποιο υλικό σχετίζεται με την υπόθεση και πώς αντιμετωπίζονται άσχετα προσωπικά δεδομένα. Η στοχευμένη έρευνα περιορίζει την περιττή συλλογή και διατηρεί σαφή σκοπό.

Συλλογή με τεκμηρίωση και ιχνηλασιμότητα

Αξιολογούμε κατάσταση συσκευής, κρυπτογράφηση, διαθέσιμα διαπιστευτήρια, τεχνολογία αποθήκευσης και πιθανότητα μεταβολής δεδομένων κατά τη συλλογή. Ανάλογα με την υπόθεση, χρησιμοποιούνται εγκληματολογικά αντίγραφα, στοχευμένη συλλογή, υποστηριζόμενη εξαγωγή κινητών ή υπάρχοντα backups. Τεκμηριώνουμε μέθοδο, πηγή, χρόνους, ελέγχους ακεραιότητας όπου εφαρμόζονται και κάθε μεταβίβαση. Αντίγραφα εργασίας και περιορισμένη πρόσβαση προστατεύουν το συλλεγμένο υλικό.

Ανασύνθεση δραστηριότητας από πολλαπλά ίχνη

Η ανάλυση μπορεί να καλύπτει δημιουργία και μεταβολή αρχείων, χρήση εφαρμογών, πλοήγηση, συνδεδεμένα μέσα, πρόσβαση λογαριασμών και επικοινωνίες εντός του εξουσιοδοτημένου υλικού. Συσχετίζουμε ίχνη αντί να βασιζόμαστε σε μία χρονοσφραγίδα ή ονομασία. Ζώνες ώρας, αλλαγές ρολογιού, συγχρονισμός και αυτόματες διαδικασίες επηρεάζουν την ερμηνεία. Η παρουσία αρχείου δεν αποδεικνύει από μόνη της ποιος το χρησιμοποίησε ή με ποια πρόθεση.

Κινητά, πολυμέσα και ειδικές πηγές

Στα κινητά, η εξέταση εξαρτάται από μοντέλο, λειτουργικό, κατάσταση ασφάλειας και διαθέσιμα δεδομένα. Εξετάζουμε σχετικά μηνύματα, εγγραφές εφαρμογών και αντίγραφα, χωρίς υπόσχεση πρόσβασης σε κάθε κλειδωμένη συσκευή. Σε εικόνες, ηχογραφήσεις και έγγραφα ελέγχουμε μεταδεδομένα, ιστορικό και συνέπεια με άλλα στοιχεία. Ζητήματα αυθεντικότητας ενδέχεται να απαιτούν ειδικές μεθόδους· η έκθεση εξηγεί ποιες δοκιμές έγιναν και τι τεκμηριώνουν. Στοιχεία από συνδεδεμένες συσκευές ή OT εξετάζονται με τους αρμόδιους μηχανικούς και σεβασμό στη λειτουργική ασφάλεια.

Ευρήματα που μπορούν να επανεξεταστούν

Κάθε σημαντικό συμπέρασμα συνδέεται με υποστηρικτικά στοιχεία και διαχωρίζεται η παρατήρηση από την ερμηνεία. Παραδίδονται χρονολόγιο, σχετικά τεκμήρια, μέθοδοι και ανοικτά ερωτήματα. Διαγραμμένα ή αντικατεστημένα δεδομένα μπορεί να μην είναι ανακτήσιμα· η απουσία ίχνους δεν αποδεικνύει ότι κάτι δεν συνέβη. Εξηγούμε τους περιορισμούς και υποστηρίζουμε τεχνική ανασκόπηση με τη νομική ή ερευνητική ομάδα του πελάτη.

Εξέταση δραστηριότητας αρχείων στο συνολικό πλαίσιο

Ερώτημα για αντιγραφή εγγράφου μπορεί να απαιτεί αρχεία συστήματος, δραστηριότητα εφαρμογών, συνδεδεμένα μέσα και σχετικά δεδομένα cloud. Καμία χρονική ένδειξη δεν ερμηνεύεται χωρίς κατανόηση πηγής και ενεργειών που την αλλάζουν. Συγκρίνουμε διαθέσιμα ίχνη και εναλλακτικές ερμηνείες, διαχωρίζοντας την παρουσία αρχείου από τεκμήριο ενέργειας συγκεκριμένου προσώπου.

Εταιρικές συσκευές με μικτή προσωπική χρήση

Η συσκευή που χρησιμοποιείται επαγγελματικά και προσωπικά χρειάζεται σαφή όρια εξέτασης. Συμφωνούμε πρόσωπα, περίοδο, κατηγορίες υλικού και αποδέκτες με την εξουσιοδοτημένη ομάδα. Μέθοδος συλλογής και διαδικασία ανασκόπησης αντανακλούν αυτές τις αποφάσεις. Αν τεχνικοί περιορισμοί δεν επιτρέπουν πλήρη διαχωρισμό κατά τη λήψη, ορίζονται ρητά μέτρα χειρισμού και ελέγχου.

Προετοιμασία συσκευών για συμφωνημένη εξέταση

Πριν από την παράδοση, προσδιορίστε τύπο, κατάσταση, ιδιοκτησία, γνωστή κρυπτογράφηση και αλλαγές μετά τον εντοπισμό του θέματος. Η ομάδα συμφωνεί μεταφορά ή συλλογή και καταγραφή πειστηρίου. Αποφύγετε πειραματισμούς με εργαλεία ανάκτησης ή καθαρισμού πριν λάβετε οδηγίες για τη συγκεκριμένη υπόθεση, καθώς μπορεί να μεταβάλουν σχετικές πληροφορίες.

Συχνές ερωτήσεις