IT forenzika · Vyšetřovací orgány

Wie werden Systemwartung und Logrotation als Ursache fehlender Spuren berücksichtigt?

Logs und Caches werden oft regulär gelöscht oder überschrieben.

Proč je tato otázka důležitá pro vyšetřovací orgány

V případě pokročilých vyšetřovacích otázek jde málokdy pouze o to, zda existuje nějaký konkrétní artefakt. Rozhodující je, zda je technická interpretace spolehlivá, jaké protichůdné hypotézy existují a jaké závěry z dostupných údajů v daném případě nelze vyvodit.

Technický přístup k výzkumu

Wir prüfen Retention, Rotation, Wartungsjobs und Systemversionen, bevor fehlende Daten als verdächtig bewertet werden.

Kde leží hranice výpovědi

Reguläre Bereinigung darf nicht ohne Zusatzspuren als Anti-Forensik interpretiert werden.

Proč LanCologne?

Metoda LanCologne se v komplexních vyšetřovacích řízeních nepoužívá k co nejefektivnějšímu potvrzení stávající hypotézy o podezření. Jejím úkolem je nezávisle prověřit konkrétní technickou otázku a posoudit jak usvědčující, tak i ospravedlňující nálezy podle stejných odborných měřítek.

Datová základna je jednoznačně zdokumentována. Pokud je to technicky možné, provádí se vyhodnocení na ověřených zálohách nebo vhodných pracovních kopiích. U nálezů rozhodujícího významu se nespoléháme pouze na automaticky generované zprávy. Ověřuje se původ, logika vzniku a systémový kontext; v případě potřeby se provádí validace na základě primárních dat nebo pomocí druhé odborně vhodné metody.

Právě u složitých případů je rozhodující rozlišovat mezi vazbou na zařízení, vazbou na účet, vazbou na relaci, činností uživatele a fyzickou osobou. Rovněž se rozlišuje mezi pozitivním zjištěním, pouhou slučitelností, neprokázáním a technickým vyloučením.

Výsledky jsou zdokumentovány tak, aby vyšetřovatelé a státní zástupci mohli pochopit jejich podstatu i bez speciálních forenzních znalostí. Zároveň jsou technické podklady zdokumentovány tak, aby je bylo možné reprodukovat pro pozdější přezkoumání jinými forenzními odborníky, obhajobou a soudem.

Od vyšetřovacího úkolu k spolehlivé výpovědi

1Přesně vymezit předmět vyšetřování a zadání technického šetření.

2Formulovat zatěžující hypotézu, zbavující viny protichůdné hypotézy a možné technické alternativní vysvětlení.

3Zaznamenat důkazní prostředky, výchozí data, integritu a známé mezery.

4Určit relevantní primární zdroje, odkazy na zařízení, účty, Server a cloud.

5Prozkoumat artefakty relevantní pro rozhodování v kontextu jejich vzniku a systému.

6V případě kritických nálezů nezávisle ověřovat výsledky parserů a nástrojů.

7Problémy s časem, synchronizací a verzemi transparentně vyřešit nebo zdokumentovat jako zbytkovou nejistotu.

8Hodnotit zátěžové i odlehčující nálezy podle stejných odborných kritérií.

9Výslovně uvést omezení závěrů, mezery v datech a možné alternativní vysvětlení.

10Srozumitelně odpovědět na vyšetřovací otázku a zajistit technickou ověřitelnost.

Nezvratné, zprošťující a nejasné nálezy

Výsledek šetření zůstává otevřený. Pokud několik spolehlivých zdrojů podporuje vyšetřovací hypotézu, je vysvětlena její technická souvislost. Existují-li protichůdné nálezy nebo technicky podložené alternativní vysvětlení, jsou tyto rovnocenně zdokumentovány. Pokud datová základna není dostatečná, je výslovně uvedeno, co se nepodařilo prokázat.

Reprodukovatelnost a následné soudní přezkoumání

Hlavní závěr je formulován srozumitelně pro vyšetřovatele a státní zástupce. Zároveň jsou technické základy relevantní pro vyšetřování zdokumentovány tak, aby další kvalifikovaný IT forenzní expert mohl na základě stejné datové základny reprodukovat podstatná zjištění. To usnadňuje pozdější dotazy, křížové kontroly a případné soudní dokazování.

LanCologne jako nezávislý externí znalec v oblasti IT forenziky

Pokud musí orgán činný v trestním řízení nechat důkladně, nezávisle nebo reprodukovatelně prověřit složitou digitální otázku, společnost LanCologne mu poskytne podporu v podobě objektivního šetření bez předem stanoveného výsledku. Hlavním cílem je poskytnout spolehlivou odpověď na konkrétní vyšetřovací otázku – včetně protichůdných závěrů, omezení výpovědní hodnoty a technické ověřitelnosti.

Právní rámec

Vedení vyšetřování a právní posouzení zůstávají v kompetenci příslušných orgánů trestního stíhání. Podle § 160 trestního řádu prošetřuje státní zastupitelství skutkovou podstatu a je povinno zjišťovat jak okolnosti usvědčující, tak i okolnosti polehčující. § 161 trestního řádu upravuje obecná vyšetřovací pravomoc státního zastupitelství; § 163 trestního řádu pak úkoly policie v rámci vyšetřovacího řízení.

Na znalce se zásadně vztahují §§ 72 a násl. trestního řádu. Podle § 161a odst. 1 trestního řádu jsou znalci povinni se na předvolání dostavit k státnímu zastupitelství a předložit své znalecké posudky. § 82 trestního řádu upravuje formu vypracování znaleckého posudku v přípravném řízení. § 78 trestního řádu se týká soudního dohledu nad činností znalce, pokud je takový dohled na místě.

Zajištění a zabavení se řídí zejména ustanoveními § 94 a § 98 trestního řádu. § 110 odst. 3 trestního řádu se týká prohlížení elektronických paměťových médií a zajištění údajů, které mohou být pro vyšetřování významné. O přípustnosti, rozsahu a nařízení státních opatření rozhodují výlučně příslušné orgány trestního stíhání a soudy.

Podle § 1 odst. 3 JVEG se zapojení ze strany policie nebo jiných orgánů trestního stíhání na základě pověření nebo s předchozím souhlasem státního zastupitelství z hlediska nároku na odměnu rovná zapojení ze strany státního zastupitelství.

Často kladené otázky

Wie werden Systemwartung und Logrotation als Ursache fehlender Spuren berücksichtigt?+

Jak taková technická prohlídka probíhá v praxi?+

Wir prüfen Retention, Rotation, Wartungsjobs und Systemversionen, bevor fehlende Daten als verdächtig bewertet werden.

Přináší vyšetření vždy jednoznačný výsledek, který obžalovaného usvědčuje, nebo naopak zbavuje viny?+

Reguläre Bereinigung darf nicht ohne Zusatzspuren als Anti-Forensik interpretiert werden.

Existuje pro to právní základ?+

Vedení vyšetřování a právní posouzení zůstávají v kompetenci příslušných orgánů trestního stíhání. Podle § 160 trestního řádu (StPO) prošetřuje státní zastupitelství skutkovou podstatu a je povinno zjišťovat jak obviňující, tak i polehčující okolnosti. § 161 trestního řádu (StPO) upravuje obecná vyšetřovací pravomoc státního zastupitelství; § 163 trestního řádu (StPO) pak úkoly policie v rámci vyšetřovacího řízení. Pro znalce platí zásadně §§ 72 a násl. trestního řádu. Podle § 161a odst. 1 trestního řádu jsou znalci povinni se na předvolání dostavit k státnímu zastupitelství a předložit svůj znalecký posudek. § 82 trestního řádu upravuje formu vypracování znaleckého posudku v předběžném řízení. § 78 trestního řádu se týká soudního dohledu nad činností znalce, pokud je takový dohled relevantní. Zajištění a zabavení se řídí zejména §§ 94 a 98 trestního řádu. § 110 odst. 3 trestního řádu se týká prohlížení elektronických paměťových médií a zajištění dat, která mohou mít význam pro vyšetřování. O přípustnosti, rozsahu a nařízení státních opatření rozhodují výlučně příslušné orgány trestního stíhání a soudy. Podle § 1 odst. 3 zákona o odměňování justičních úředníků (JVEG) se zapojení policií nebo jinými orgány trestního stíhání z pověření nebo s předchozím souhlasem státního zastupitelství z hlediska práva na odměnu rovná zapojení ze strany státního zastupitelství.