IT forenzika · Auta
Průběh a náklady na forenzní vyšetřování vozidla
Der Ablauf eines Car-Forensik-Auftrags richtet sich nach Umfang und Komplexität der jeweiligen Fragestellung und reicht von einer punktuellen Datensicherung bis zu einer umfassenden, mehrstufigen Gesamtuntersuchung.
U vozidel je tento bod obzvláště důležitý, protože se mohou výrazně lišit výrobci, typy modelů, verze softwaru a používané formáty ukládání a přenosu dat. Klasický osobní automobil se spalovacím motorem, moderní elektromobil a užitkové vozidlo s tachografem nelze posuzovat podle stejného technického schématu. Místo uložení, formát dat, šifrování a konektivita určují, které údaje jsou dostupné a která metoda zálohování způsobuje nejméně změn.
Der voraussichtliche Aufwand und die damit verbundenen Kosten werden vorab mit dem Auftraggeber besprochen und richten sich nach dem konkret vereinbarten Untersuchungsumfang.
Proč LanCologne?
Společnost LanCologne nezkoumá digitální stopy související s vozidly podle paušálního standardního schématu, nýbrž na základě konkrétního typu vozidla, dostupných zdrojů dat a příslušné důkazní otázky. Naši zaměstnanci disponují desítkami let zkušeností v oblasti informačních technologií a dlouholetou praktickou zkušeností v oblasti IT forenziky. Podporujeme podniky, advokáty, soukromé osoby a pravidelně také soudy a úřady při technickém objasňování digitálních skutečností.
Vyšetřování se zásadně provádí na forenzní kopii, forenzním obrazu nebo na datovém zdroji, který byl zaznamenán technicky rovnocenným způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn, případně jsou technicky nevyhnutelné zásahy transparentně zdokumentovány a materiál je uložen způsobem zajišťujícím důkazní hodnotu.
Náš způsob práce a používané nástroje
Naše vyšetřování nezačíná spuštěním analytického programu, ale sběrem důkazního materiálu. Dokumentujeme vozidlo, zabudované systémy, viditelný stav i připojená mobilní zařízení. Poté se rozhodne, které zdroje dat jsou dostupné a v jakém pořadí budou zajištěny.
V dalším kroku se stanoví strategie zálohování. Rozlišujeme přitom, zda jsou data přístupná prostřednictvím vyjmutých paměťových médií, přes běžné diagnostické rozhraní nebo prostřednictvím mobilního zařízení připojeného k vozidlu. Volba nezávisí na pohodlí, ale na typu vozidla, formátu dat, dostupnosti a konkrétní důkazní otázce. Tam, kde je to technicky možné, pracujeme v režimu jen pro čtení; nevyhnutelné změny stavu jsou výslovně zaznamenány.
Vytvořená záloha je zdokumentována pomocí hash hodnot. Samotná analýza se neprovádí na originálu, ale na pracovní kopii, resp. na ověřeném důkazním obrazu. Tak lze provádět vyhledávání nebo vlastní vyhodnocovací kroky, aniž by se průběžně měnil původní důkazní materiál.
Wir besprechen Umfang, voraussichtlichen Aufwand und Kosten eines Auftrags vorab transparent mit dem Auftraggeber und passen die Vorgehensweise an die konkrete Fragestellung und das vorhandene Budget an.
Pro čtenáře, který není odborníkem v této oblasti, je přitom obzvláště důležitý jeden bod: forenzní program „nenajde" pravdu automaticky. Čte datové struktury a interpretuje je podle známých pravidel. Pokud nová verze softwaru nebo systému změní formát dat, může automatizovaná analýza reagovat neúplně nebo nesprávně. Proto u klíčových zjištění ověřujeme, z jakého souboru nebo datové struktury výsledek pochází a zda stejný stav potvrzuje i druhý technický postup.
Záměrně nepoužíváme specializovaný hardware pro extrakci dat z vozidel, jako jsou proprietární čtečky infotainmentových systémů nebo řídicích jednotek. Místo toho analyzujeme paměťová média, připojená mobilní zařízení a běžné formáty souborů a databází pomocí našich osvědčených forenzních nástrojů, zejména Belkasoft X a X-Ways Forensics. V případech, kdy výrobcem specifické, nedokumentované formáty řídicích jednotek nebo infotainmentu brání úplnému automatizovanému vyhodnocení, ručně prověřujeme dostupná surová data a transparentně dokumentujeme existující technická omezení, místo abychom tvrdili něco, co nemůžeme podložit.
Typické oblasti použití
Takto probíhá forenzní vyšetřování
Vozidlo, jeho systémy a případně připojená mobilní zařízení jsou nejprve jednoznačně identifikována a zdokumentována fotograficky nebo písemně. Zaznamenáme, v jakém fyzickém a elektronickém stavu bylo vozidlo nalezeno. Tyto informace mohou být později rozhodující.
Určí se výrobce, model, nainstalované systémy a jejich verze softwaru. Teprve na základě toho lze určit, které údaje jsou v zásadě dostupné a která metoda zálohování je vhodná.
Zálohování se provádí tak, aby se původní stav změnil co nejméně. V závislosti na konkrétním případě se z přístupných paměťových médií provádí čtení v režimu jen pro čtení, připojená mobilní zařízení se zálohují samostatně a dostupná data v cloudu se zaznamenávají se souhlasem oprávněné osoby. Každý krok se zaznamenává do protokolu.
Vytvořené obrazy nebo kopie jsou jednoznačně pojmenovány, opatřeny hash hodnotami a ověřeny. Analýza a vyhledávání se následně provádějí výhradně na pracovních kopiích.
Stávající data jsou systematicky vyhodnocována pomocí našich osvědčených forenzních nástrojů. Pokud standardní software určitý formát plně nepodporuje, je tato skutečnost zdokumentována, místo aby byla mlčky přehlížena.
V případě zvláště důležitých nebo neobvyklých nálezů ručně prověřujeme surová data, struktury souborů a metadata, abychom vyloučili automatizované chybné interpretace.
Na závěr neuvádíme pouze seznam toho, co se podařilo zjistit. Vysvětlíme, na jakém technickém zdroji se nález zakládá, jaký závěr lze vyvodit a kde jsou jeho meze.
Proč je tato oblast vyšetřování relevantní z forenzního hlediska?
Der Ablauf eines Car-Forensik-Auftrags richtet sich nach Umfang und Komplexität der jeweiligen Fragestellung und reicht von einer punktuellen Datensicherung bis zu einer umfassenden, mehrstufigen Gesamtuntersuchung.
Forenzní hodnota nespočívá pouze v množství nalezených dat, ale v jejich původu a spolehlivosti. Název souboru, časové razítko nebo záznam v protokolu mohou být bez kontextu zavádějící. Proto dokumentujeme, jak mohl artefakt vzniknout, jaká existují alternativní vysvětlení a jaké další stopy nález podporují.
Der voraussichtliche Aufwand und die damit verbundenen Kosten werden vorab mit dem Auftraggeber besprochen und richten sich nach dem konkret vereinbarten Untersuchungsumfang.
Zejména u vozidel může navíc snaha o kompletní technickou analýzu narazit na překážky, pokud výrobci používají proprietární, nezveřejněné datové formáty. Chybějící dokumentace, šifrované oblasti paměti a výrobcem specifická připojení k cloudu jasně ukazují, proč je před samotnou analýzou tak důležité odborné zajištění dat a transparentní sdělení existujících omezení. Chyby v této fázi nelze vždy později napravit.
Často kladené otázky
LanCologne – IT forenzika vozidel, Kolín nad Rýnem
Sie benötigen eine professionelle Untersuchung zu „Ablauf und Kosten eines Car-Forensik-Auftrags"? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation digitaler Spuren im Zusammenhang mit Fahrzeugen. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.