O LanCologne

Odborná kancelář a forenzní laboratoř pro digitální důkazy

LanCologne je specializovaná znalecká kancelář a forenzní laboratoř se sídlem v Kolíně nad Rýnem. Zaměřujeme se na IT forenziku, forenzní zajištění a analýzu digitálních důkazních materiálů a na transparentní technické posouzení složitých digitálních případů.

Pomáháme soudům, orgánům činným v trestním řízení, advokátům a obhájcům, firmám, pojišťovnám i soukromým osobám v případech, kdy je třeba zajistit, rekonstruovat, prověřit nebo odborně vyhodnotit digitální stopy.

IT forenziku přitom nechápeme jako co nejrozsáhlejší sběr digitálních dat. Rozhodující je zajistit pomocí vhodných metod informace relevantní pro konkrétní problém, technicky je ověřit a srozumitelně vyhodnotit jejich skutečnou vypovídací hodnotu.

Zkušenosti v oblasti digitální forenziky

Zpracování forenzních případů od roku 2015

Společnost LanCologne působí v oblasti digitální forenziky od roku 2015. Během této doby byly zkoumány nejrůznější digitální důkazy a technické otázky – od smartphonů a počítačových systémů přes datová média a data v cloudu až po složité případy, v nichž bylo nutné porovnat informace z několika digitálních zdrojů.

Naši zadavatelé pocházejí jak z institucionální sféry, tak z soukromého a podnikatelského sektoru. Patří mezi ně mimo jiné soudy a justice, orgány činné v trestním řízení, advokáti a obhájci, podniky, pojišťovny a soukromé osoby.

Požadavky se přitom značně liší. Zatímco v jednom řízení může být rozhodující například autentičnost nebo časové zařazení jednotlivého digitálního artefaktu, jiné vyšetřování vyžadují rekonstrukci složitých sledů událostí z několika zařízení a zdrojů dat. Tato práce na konkrétních případech tvoří základ našeho současného způsobu práce.

Kvalifikace a průběžné vzdělávání

Digitální forenzika se neustále vyvíjí. Operační systémy, šifrovací metody, souborové systémy, mobilní platformy, cloudové služby a aplikace se neustále mění. Odborně podložené vyšetřování proto vyžaduje kromě praktických zkušeností také pravidelné další vzdělávání.

Mezi naše kvalifikace patří mimo jiné:

• IT Forensic Mobile Expert – TÜV Rheinland
• Odborník na IT forenziku v systému Windows – TÜV Rheinland
• odborné kvalifikace a praktické zkušenosti v oblasti mobilní forenziky
• Zkušenosti s forenzním vyšetřováním systémů Apple, Windows, Android a dalších digitálních systémů
• pravidelné odborné vzdělávání a další vzdělávání

Kromě toho se neustále zabýváme novými forenzními metodami, změnami v operačních systémech a vývojem digitálních artefaktů. Kvalifikaci přitom nechápeme jako stav, kterého lze jednou dosáhnout, ale jako nepřetržitý proces.

Vlastní forenzní laboratoř v Kolíně nad Rýnem

Digitální důkazní materiály zůstávají pod naší kontrolou

Forenzní vyšetřování provádíme v naší vlastní laboratoři v Kolíně nad Rýnem. Díky tomu můžeme klíčové kroky zajištění důkazů, rekonstrukce dat a forenzní analýzy provádět v rámci naší vlastní technické infrastruktury.

V závislosti na předmětu zkoumání jsou k dispozici mimo jiné specializovaná pracoviště a postupy pro:

• Mobilní forenzní analýza
• Počítačová forenzika
• forenzní zálohování datových nosičů
• Obnova dat
• Analýza flashových a paměťových médií
• Metody Chip-Off a JTAG
• forenzní záloha jen pro čtení
• izolované testování mobilních zařízení

Mezi ně patří mimo jiné stanice pro blokování zápisu, Faradayovo stínění a specializovaná pracoviště pro obnovu dat a hardwarové vyšetřovací postupy.

Pokud lze vyšetřování provést výhradně s využitím naší stávající infrastruktury, zůstává vyšetřovací materiál během zpracování v naší odpovědnosti. Zejména v případě citlivých údajů nebo údajů relevantních pro důkazní řízení považujeme kontrolované zacházení s vyšetřovacím materiálem za podstatnou součást forenzní práce.

Náš způsob práce

Srozumitelné, nestranné a nezávislé

Forenzní vyšetřování začíná položením otázky – nikoli požadovaným výsledkem. Naším úkolem je zjistit technicky ověřitelné skutečnosti a vyhodnotit jejich výpovědní hodnotu.

Vyhodnocují se artefakty relevantní pro daný výzkumný úkol – bez ohledu na to, zda potvrzují či vyvracejí původní pracovní hypotézu. Rozlišujeme přitom mezi technicky zjistitelnými skutečnostmi, závěry, které z nich lze logicky odvodit, a předpoklady, které nelze na základě dostupných údajů doložit.

I chybějící důkaz může představovat relevantní výsledek vyšetřování. V případech, kdy stávající digitální stopy neumožňují učinit spolehlivý závěr, je tato hranice jasně uvedena.

Zajištění digitálních důkazů a řetězec důkazů

U vyšetřování týkajících se důkazů není rozhodující pouze výsledek vyšetřování. Stejně důležitá je otázka, jak se s digitálním důkazním materiálem nakládá a na základě jakých údajů bylo učiněno dané zjištění.

V závislosti na zakázce proto dokumentujeme mimo jiné:

• Příjem a stav vyšetřovaného materiálu
• Identifikace příslušných zařízení a datových nosičů
• Předání a jednotlivé kroky zpracování
• používané bezpečnostní postupy
• Hodnoty integrity, resp. hashové hodnoty, pokud je to technicky proveditelné
• použité forenzní nástroje a jejich verze
• hlavní kroky analýzy
• technická omezení
• relevantní nálezy

Cílem je zajistit co nejvíce sledovatelný průběh vyšetřování od přijetí digitálního důkazního materiálu až po jeho technické posouzení.

O kvalitě vyšetření nerozhoduje nástroj

Při naší práci využíváme různé specializované forenzní hardwarové a softwarové řešení. Výběr konkrétního nástroje závisí na předmětu vyšetřování a kladených otázkách.

Forenzní software dokáže extrahovat data, strukturovat je a připravit k analýze. Nenahrazuje však odborné vyhodnocení nálezu. V případě relevantních nebo protichůdných výsledků lze proto dodatečně prověřit podkladové soubory, databáze, metadata a systémové struktury a porovnat nálezy s dalšími zdroji dat.

Kvalita forenzního vyšetřování nezávisí na počtu dostupných softwarových produktů, ale na metodice, technickém posouzení a srozumitelné interpretaci výsledků.

Od zajištění až po odborný posudek

Zvláštní předností společnosti LanCologne je propojení různých technických oborů. V závislosti na předmětu zkoumání můžeme v rámci uceleného procesu zkoumání provádět různé kroky:

1. Přijetí důkazních prostředků
2. Forenzní zálohování
3. Rekonstrukce dat
4. Technická analýza
5. Korelace různých zdrojů dat
6. Vyhodnocení nálezů
7. Dokumentace nebo znalecký posudek

Tato souvislost může být důležitá zejména v případě, že je předmět vyšetřování technicky poškozen nebo je nejprve nutné rekonstruovat data, než bude možné provést samotnou forenzní analýzu.

Činnost znalce

Prezentovat technické skutečnosti srozumitelně a jasně

Digitální důkazní materiály mohou být technicky složité. Úkolem znalce proto není pouze vyhledávání digitálních stop. Získané poznatky je třeba zdokumentovat tak, aby byl srozumitelný postup vyšetřování, zjištění i technické závěry.

V závislosti na zadání připravujeme:

• technické dokumentace k zkouškám
• forenzní vyšetřovací zprávy
• závěry znalců
• podrobné IT-forenzní posudky

Přitom dbáme na jasné oddělení technického nálezu od jeho interpretace.

Předávání znalostí

Semináře a odborná výměna zkušeností

Praktické zkušenosti z řešení konkrétních případů se promítají také do naší školicí a seminární činnosti. Společnost LanCologne zprostředkovává znalosti z vybraných oblastí IT a mobilní forenziky a zabývá se přitom jak osvědčenými vyšetřovacími metodami, tak i aktuálními technickými trendy.

Výuka forenzních metod je zároveň důležitou součástí naší vlastní odborné práce: metody musí být vysvětleny srozumitelně, musí být technicky odůvodněné a musí být možné je kriticky zpochybňovat.

Naše odborné obory

Naše činnost zahrnuje zejména:

Další technické kvalifikace

Naše technické zkušenosti se neomezují pouze na digitální forenziku. Díky naší dlouholeté činnosti v oblasti IT disponujeme navíc kvalifikacemi a zkušenostmi mimo jiné v oblastech síťových technologií, firewallových systémů, infrastruktur WLAN a IT bezpečnosti. Mezi ně patří, respektive patřily, mimo jiné certifikace konkrétních výrobců z oblasti Ubiquiti, LANCOM a Siklu.

Tyto znalosti doplňují naši forenzní činnost, zejména v případech, kdy je třeba do technického posouzení zahrnout síťové, infrastrukturní nebo bezpečnostní komponenty. Těžiště naší současné činnosti však jednoznačně spočívá v IT forenzice, zajišťování digitálních důkazů, znalecké činnosti a rekonstrukci dat.

LanCologne – IT forenzika z Kolína nad Rýnem

Naším cílem není slibovat konkrétní výsledek pro každou otázku. Naším cílem je zkoumat digitální skutečnosti pomocí vhodných technických metod a srozumitelně prezentovat, co lze na základě dostupných digitálních stop zjistit – a co nikoli. Tento způsob práce tvoří základ naší činnosti jako znalecké kanceláře a forenzní laboratoře.

Chcete nechat prošetřit nějakou digitální záležitost?

Nejprve nám můžete popsat výchozí situaci a váš problém. Na základě toho budeme moci posoudit, jaké možnosti šetření jsou vhodné a jaké podklady či důkazní prostředky k tomu budou zapotřebí.