Naše laboratoř pro IT forenziku v Kolíně nad Rýnem

Forenzní zálohování datových nosičů

Forenzní vyšetřování obvykle začíná zálohováním. Pokud je to technicky možné, je původní datový nosič chráněn před zápisem a nejprve se vytvoří forenzní záloha. Další analýza se poté zásadně provádí na základě této zálohy, resp. pracovní kopie z ní vytvořené.

Proč je ochrana proti zápisu u originálních datových nosičů důležitá

Již samotné připojení datového nosiče k běžnému počítači může způsobit změnu dat. Operační systém například vytváří soubory nebo aktualizuje časová razítka. U podporovaných datových nosičů proto používáme hardwarové blokátory zápisu. Ty umožňují čtení a zabraňují neúmyslnému zápisu na připojený originální nosič. Díky tomu lze později zpětně zjistit, na jakém stavu dat je vyšetřování založeno.

Řízené zálohování a kontrola integrity pomocí hashových hodnot

K zálohování jsou k dispozici specializované forenzní systémy pro vytváření obrazů. Ke každé záloze vypočítáváme hashové hodnoty. Jedná se o jakýsi digitální otisk: již minimální změna v datech vede k jiné hodnotě. Pokud se hashové hodnoty shodují, je prokázáno, že zkoumaná kopie odpovídá zálohovaným datům.

Více informací: Forenzní analýza systému Windows · Writeblocker v linuxové forenzice

Síťová izolace podle mezinárodně uznávaných standardů

Mobilní zařízení zajišťujeme a zkoumáme ve stíněné pracovní stanici (BlockBox Lab XL, Mission Darkness). Ta odpojí zařízení od mobilní sítě, Wi-Fi a Bluetooth. Tím se zabrání tomu, aby příchozí data nebo vzdálené přístupy, například vzdálené vymazání, po převzetí změnily data. Díky rukavicovým průchodům a filtrovaným napájecím a datovým vedením zůstává zařízení ovladatelné a lze jej napájet a forenzně zajistit.

Řídíme se tím doporučeními mezinárodních směrnic pro mobilní forenzní analýzu, zejména NIST SP 800-101 a osvědčenými postupy SWGDE. Účinnost stínění jsme ověřili a zdokumentovali.

Doplňková vizuální dokumentace úkonů zkoumání

Stíněná pracovní komora je vybavena integrovanou videokamerou, kterou lze zaznamenávat úkony zkoumání na mobilních zařízeních v průběhu jejich zpracování. Takto lze jako doplněk k písemnému protokolu o zkoumání dokumentovat zejména ruční úkony obsluhy, změny stavu zařízení i jednotlivé pracovní kroky. Záznam probíhá uvnitř stíněného prostředí, takže jej není nutné otevírat pouze kvůli dokumentaci.

Pokud jsou takové záznamy pořízeny, lze je přiřadit k příslušnému zkoumání a uchovat jako doplňkové dokumentační podklady se zachováním integrity jejich dat.

Zajištění důkazů v mobilní forenzní analýze →

Proč neexistuje jediný postup pro všechny smartphony

To, jaké údaje lze zachránit, závisí na několika faktorech: výrobci a modelu, verzi operačního systému, bezpečnostním stavu (zamčeno nebo odemčeno, zašifrováno) a konkrétní situaci. V závislosti na výchozí situaci proto přicházejí v úvahu různé postupy extrakce a analýzy. U každého šetření dokumentujeme, jaký postup používáme a kde leží jeho hranice.

Kontrola přítomnosti škodlivého softwaru a monitorování

V případě podezření na spyware, stalkerware nebo jiný škodlivý software provádíme kontrolu zařízení s operačními systémy Android a iOS pomocí specializovaných analytických systémů. Negativní výsledek neznamená, že lze vyloučit napadení zařízení. Proto vždy vysvětlujeme význam každého výsledku.

Pokud již nelze z zařízení normálně načíst data

Poškození vodou, rozbití, vadné součástky nebo zařízení, které se již nespustí: V takových případech se zálohování dat často nepodaří provést přes běžné připojení. V takovém případě je nejprve nutné provést opravy hardwaru, aby bylo možné data vůbec načíst.

Mikroskopie, technika pájení a oprav

Mnoho součástek na moderních deskách plošných spojů lze spolehlivě posoudit a zpracovat pouze pod zvětšením. Na elektronickém pracovišti je k tomu k dispozici digitální mikroskop, pájecí a opravná technika s odsáváním pájecích výparů a pracovní plochy chráněné proti elektrostatickému výboji (ESD). Plochy chráněné proti ESD chrání citlivou elektroniku před elektrostatickým výbojem.

Hardwarové metody přístupu: JTAG a Chip-Off

Pokud nelze zařízení oslovit přes jeho běžné konektory ani po hardwarové úpravě, lze zvážit použití hardwarových metod. U metody JTAG se k paměti přistupuje přes testovací a kontrolní konektory na desce, u metody Chip-Off se paměťový čip odpájí a data se z něj vyčtou pomocí programátoru. Obě metody provádíme na našem elektronickém pracovišti. To, zda jsou vhodné, závisí na zařízení, architektuře paměti a bezpečnostních mechanismech. U mnoha moderních smartphonů jsou data šifrována a vázána na hardware zařízení. Paměť přečtená přímo sice poskytuje surová data, ale ne nutně využitelné uživatelské údaje. Zda má takový postup v konkrétním případě šanci na úspěch, s vámi vyjasníme před jeho provedením.

Obnova dat na pracovním stole v čistém prostoru

Některé práce s datovými nosiči je třeba provádět v prostředí chráněném před prachem. K tomuto účelu je v laboratoři k dispozici čistotní pracovní stůl. Ten zásobuje pracovní prostor vzduchem, který je čištěn filtrem HEPA třídy H14. Filtry této třídy podle normy EN 1822 zachycují nejméně 99,995 % částic v nejobtížněji zachytitelné velikostní třídě. Jedná se o kontrolované pracoviště pro otevřené datové nosiče a citlivé elektronické součástky, nikoli o klasifikovanou čistou místnost.

Poškozené datové nosiče následně vyhodnocujeme na analytickém pracovišti pomocí specializovaného softwaru pro obnovu dat.

Více informací: Obnova dat v Kolíně nad Rýnem