IT-kriminalteknik · Linux

Forensisk vurdering af NTP-synkronisering – undersøgelse af tidsnøjagtigheden som grundlag for forensiske tidslinjer

Network Time Protocol, forkortet NTP, bruges til at synkronisere systemuret med eksterne tidskilder og er en afgørende forudsætning for, at tidsstempler fra forskellige systemer overhovedet kan sammenlignes på en meningsfuld måde.

Uforpligtende forespørgsel

For at opnå en tidslinje, der holder i en retsmedicinsk sammenhæng, er det afgørende at vide, om og hvor præcist et system faktisk var synkroniseret på et bestemt tidspunkt, da en afvigende systemtid forvrænger alle tidsstempler, der er baseret på denne.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi undersøger et systems NTP-konfiguration og de tilgængelige synkroniseringsprotokoller og vurderer på baggrund heraf pålideligheden af systemtiden i den relevante undersøgelsesperiode.

Typiske anvendelsesområder

•Vurdering af pålideligheden af systeminterne tidsstempler
•Bestemmelse af en eventuel tidsafvigelse i undersøgelsesperioden
•Sammenligning af tidslinjer fra flere systemer i et netværk
•Afsløring af manipuleret systemtid som anti-forensisk foranstaltning
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en NTP-vurdering

Efter sikkerhedskopieringen analyseres NTP-konfigurationen samt eksisterende synkroniseringsprotokoller for at fastslå, om og i hvilket omfang der har fundet en tidssynkronisering sted i den relevante periode. Eventuelle tidsafvigelser, der kan konstateres, dokumenteres og tages i betragtning ved den videre udarbejdelse af tidslinjen.

Hvorfor er NTP-vurderingen retsmedicinsk relevant?

En systemtid, der ikke er synkroniseret eller er synkroniseret forkert, kan forvride alle tidsstempler, der er baseret på den, hvorfor kontrollen af tidssynkroniseringen er et grundlæggende, men ofte undervurderet trin i enhver retsmedicinsk tidslinjekonstruktion.

Når man sammenligner hændelser på tværs af flere systemer, er det afgørende at have et pålideligt, fælles tidsgrundlag for at kunne placere hændelserne korrekt i en ensartet kronologi.

Ofte stillede spørgsmål

Hvordan kan man ved hjælp af forensisk analyse påvise, at systemtiden er forkert?+
Ved at afstemme systemtiden med uafhængige, pålidelige tidskilder samt ved at kontrollere NTP-synkroniseringslogfilerne.
Kan en manipuleret systemtid bruges som en foranstaltning mod digital efterforskning?+
Ja, en bevidst ændring af systemtiden kan bruges til at forfalske tidsstempler, og derfor undersøges denne mulighed altid.
Hvordan håndteres flere systemer med forskellig tidsnøjagtighed?+
Den pågældende tidsnøjagtighed vurderes individuelt for hvert system og tages på passende og gennemsigtig vis i betragtning ved sammenføjningen af tidslinjerne.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsteknisk undersøgelse af „retsteknisk vurdering af NTP-synkronisering"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en sporbar analyse af relevante Linux-artefakter.

Kontakt os nu