Tämä yhteenveto kokoaa yhteen kaikki LanCologne:n tarjoamat kysymykset ja vastaukset, jotka liittyvät rikostutkintaviranomaisten käyttämään IT-rikostutkintaan – digitaalisten todisteiden turvaamisesta todisteiden arviointiin ja tekijän tunnistamiseen sekä yritysten IT-järjestelmiin, asiantuntijalausuntoihin ja todisteiden käyttöön oikeudenkäynnissä. Napsauta luokkaa nähdäksesi siihen liittyvät kysymykset.
Todisteiden arviointi, uskottavuus ja tutkimushypoteesit
- Miten syyllisyyttä tukevia ja syyttömyyttä tukevia digitaalisia jälkiä tutkitaan tasapuolisesti?
- Miten digitaalinen tutkintakysymys jaetaan teknisesti tarkasteltaviksi osakysymyksiksi?
- Miten tutkimusoletus muunnetaan teknisesti todennettaviksi hypoteeseiksi ja vasta-hypoteeseiksi?
- Miten yksittäisen digitaalisen artefaktin todistusvoimaa arvioidaan?
- Miten useat heikot viitteet yhdistetään luotettavaksi tekniseksi kokonaisarvioksi?
- Miten raskauttavia löydöksiä punnitaan suhteessa vapauttaviin teknisiin vastalöydöksiin?
- Milloin negatiivinen tekninen tulos on luotettava?
- Milloin tekninen hylkääminen on painavampi peruste kuin pelkkä todisteiden puuttuminen?
- Miten teknisesti uskottava vaihtoehtoinen selitys dokumentoidaan luotettavasti?
- Miten tarkistetaan, onko syytetyn lausunto teknisesti uskottava?
- Miten tarkistetaan, onko todistajanlausunnon antaminen digitaalisessa menettelyssä teknisesti mahdollista?
- Miten syytetyn useat takavarikoidut laitteet liitetään toisiinsa?
- Miten ristiriitaiset lausunnot täsmäytetään digitaalisten jälkien avulla?
- Voiko haittaohjelma olla syyllisyyttä vahvistava tai vapauttava vaihtoehtoinen selitys?
- Miten varmistetaan, että tekninen analyysi ja tutkintapäätös pidetään erillään toisistaan?
- Miten dokumentoidaan, jos kaksi tunnustettua menetelmää johtaa erilaisiin tuloksiin?
- Miten anti-forensik-toimintaan tai todisteiden hävittämiseen viittaavia seikkoja tutkitaan?
- Miten väitetyn digitaalisen tapahtumaketjun uskottavuus tarkistetaan teknisesti?
- Miten ristiriitaisia digitaalisia todisteita käsitellään rikostutkinnassa?
- Milloin digitaalisen todistusaineiston puuttuminen on merkityksellistä tutkinnan kannalta?
- Milloin riippumaton IT-rikostutkinnan toinen tutkimus on järkevää tutkintaviranomaisille?
- Miten jo olemassa olevat rikosteknologiset analyysit validoidaan riippumattomasti?
- Miten useiden syytettyjen digitaaliset jäljet erotetaan toisistaan?
- Miten digitaaliset jäljet erotetaan toisistaan teknisesti rikollisryhmän sisällä?
- Miten digitaalisten aikaleimojen manipulointiväitteitä tutkitaan?
- Miten väitetty jälkien poisto erotetaan tavanomaisesta järjestelmän puhdistuksesta?
- Miten teknisestä vaihtoehtoisesta selityksestä, joka vapauttaa syyllisyydestä, laaditaan luotettava dokumentaatio?
- Milloin jokin tutkintahypoteesi voidaan teknisesti sulkea pois?
Tekijöiden tunnistaminen, tilit ja etäkäyttö
- Voidaanko digitaalinen toiminta liittää käyttäjätiliin tai luonnolliseen henkilöön?
- Miten arvioidaan digitaalisen sisällön useita mahdollisia alkuperäisiä laitteita?
- Miten jaettuja tilejä käsitellään syyllisyyden määrittämisessä?
- Miten varastettujen tai luovutettujen tunnistetietojen käyttöä tarkastellaan vastahypoteesina?
- Miten MFA-tapahtumat arvioidaan käyttäjien kohdistuksessa?
- Miten istuntotunnuksia arvioidaan tilin käytön rekonstruoinnissa?
- Miten pilvipalveluntarjoajien tiedot täsmäytetään paikallisten päätelaitteiden tietojen kanssa?
- Miten vastapään tietoja hyödynnetään viestintämenetelmissä?
- Miten väitettyä etäkäyttöä tarkastellaan vaihtoehtoisena tekijähypoteesina?
- Miten palvelinpuolen lokit täsmäytetään paikallisten sovellustietojen kanssa?
- Miten epätäydellinen tapahtumaketju rekonstruoidaan?
- Miten tarkistetaan, onko kahden digitaalisen tapahtuman välillä syy-seuraussuhde?
- Miten useita laitteita, joilla on sama pilvitili, analysoidaan?
- Miten erotetaan toisistaan järjestelmän automaattinen toiminta ja käyttäjän tietoinen toiminta?
Tekninen analyysimenetelmä, aikaleimat ja tietojen laatu
- Miten rikosteknisten tietojen poimintarajat dokumentoidaan?
- Miten tarkistetaan, onko rikostekninen jäsennin tulkinnut tietorakenteen oikein?
- Milloin raakatietojen tarkastus on tarpeen?
- Miten tuntemattomia tai harvinaisia digitaalisia esineitä tutkitaan?
- Miten uusien sovellusversioiden ja muutettujen tietokantarakenteiden rikostekninen arviointi suoritetaan?
- Miten App-Update-tyypit otetaan huomioon näennäisesti ristiriitaisten tietojen syynä?
- Miten saman sovelluksen eri tietotilanteita useilla laitteilla arvioidaan?
- Miten arvioidaan aikaleimoja, joiden semantiikka on tuntematon tai joista on vain vähän dokumentaatiota?
- Miten aikavyöhykevirheet laitteiden, Servern:n ja pilvipalveluiden välillä tunnistetaan?
- Miten synkronointiviiveet otetaan huomioon tutkinnan aikajanan yhteydessä?
- Miten tiedostojen hajautusarvoja käytetään laajemmissa rikostutkinnoissa?
- Miten päällekkäisiä tietokantoja voidaan järkevästi vähentää tutkinnassa?
Varmistaminen, turvaaminen ja oikeudelliset perusteet
- Miten takavarikoidut digitaaliset todisteet siirretään ja dokumentoidaan teknisesti?
- Miten sähköiset tallennusvälineet tutkitaan teknisesti rikosprosessilain (StPO) 110 §:n mukaisesti?
- Miten rikosteknisten varmuuskopioiden eheys dokumentoidaan rikostutkinnan yhteydessä?
- Milloin käynnissä olevan järjestelmän reaaliaikainen varmuuskopiointi on järkevää?
- Miten salattuja tietokoneita arvioidaan rikosteknologisesti rikostutkinnassa?
- Miten takavarikoidut älypuhelimet luokitellaan teknisesti rikostutkinnassa?
- Miten monimutkainen digitaalinen todistusaineisto kootaan yhteen syyttäjänvirastoa ja myöhempää oikeudenkäyntiä varten?
- Miten epätäydellisten tietojen vaikutus tutkimuksen arviointiin kvantifioidaan?
- Miten muotoillaan tekninen johtopäätös, jonka varmuusaste on porrastettu?
- Mitä tietoja on vielä saatavilla, kun laite on palautettu tehdasasetuksiin?
- Miten tietojen alustaminen tai uudelleenasennus arvioidaan rikostutkinnassa?
- Miten varmuuskopioita ja tilannekuvia käytetään tutkinnan lähteinä?
- Miten vaurioituneet tai puutteelliset todisteet arvioidaan asiantuntijan toimesta?
Järjestelmän muutokset, siirto ja myöhemmät muutokset
- Miten Upgrade-käyttöjärjestelmän jälkiä arvioidaan?
- Miten jälkiä arvioidaan laitteenvaihdon tai siirron jälkeen?
- Miten varmuuskopiosta palautetut tiedot arvioidaan?
- Miten järjestelmään myöhemmin tehdyt muutokset dokumentoidaan selvitys- tai varmistustoimenpiteiden avulla?
- Miten uusia teknisiä havaintoja, jotka eivät liity alkuperäiseen tutkintakysymykseen, käsitellään?
- Miten tekninen satunnainen löydös dokumentoidaan ammattimaisesti?
Asiantuntijalausunnot, oikeudenkäynnit ja syyttäjävirasto
- Miksi rikostutkintaviranomainen voi kutsua apuun ulkopuolisen tietotekniikan rikosteknologin?
- Miten olemassa olevan rikosteknisen raportin teknistä luotettavuutta arvioidaan?
- Miten IT-rikostutkinnan tulokset tiivistetään ymmärrettävästi syyttäjänviraston päätöksentekoa varten?
- Miten monimutkainen tietotekninen rikostekninen selvitys valmistellaan pääkäsittelyä varten?
- Miten tekniset havainnot dokumentoidaan tuomioistuimen ja puolustuksen esittämiä kysymyksiä varten?
- Miten toistettavissa oleva toinen tutkimus toteutetaan samojen tietojen pohjalta?
- Miten laaditaan lopullinen IT-rikostutkinnan kokonaisarvio rikostutkintaviranomaisille?
- Miten IT-rikostutkinta dokumentoidaan toistettavalla tavalla puolustuksen ja myöhemmän oikeudenkäynnin tarpeita varten?
- Miten asiantuntijalausunto laaditaan syyttäjänviraston esitutkinnassa?
- Miten IT-rikostutkinnan tulokset laaditaan siten, että niitä voidaan myöhemmin selostaa oikeudenkäynnissä?
Yritysten IT-, pilvi- ja verkkojärjestelmät
- Voidaanko yhteisen palvelutilin käyttö kohdistaa yksittäisille henkilöille?
- Miten Active Directory -kirjautumisia arvioidaan rikostutkinnassa?
- Miten Entra-ID- tai pilvipohjaiset tunnistautumiset luokitellaan rikosteknologisesti?
- Miten paikalliset tietokoneiden lokit ja keskitetyt hakemistopalvelun lokit yhdistetään toisiinsa?
- Voidaanko selvittää, kuka käyttäjä on käyttänyt tiedostopalvelinta?
- Voidaanko NAS-laitteen käyttö jäljittää rikostutkinnan yhteydessä?
- Miten SharePoint-tiedostoja ja versioita arvioidaan rikostutkinnassa?
- Miten OneDrive-synkronointitietoja analysoidaan tutkinnassa?
- Miten Microsoft 365 -tarkastustietoja arvioidaan rikostutkinnassa?
- Miten Exchange-postilaatikoita ja palvelinpuolen sähköpostijälkiä tutkitaan?
- Miten Teams-viestintää ja kokousaineistoja arvioidaan rikosteknologisesti?
- Voidaanko selvittää, onko yrityksen tietoja jaettu ulkopuolelle?
- Miten käyttöoikeuksien muutokset rekonstruoidaan yritysjärjestelmissä?
- Voidaanko selvittää, kuka on myöntänyt käyttäjälle laajennetut oikeudet?
- Miten terminaalipalvelin- ja etätyöpöytäistunnot osoitetaan yksittäisille käyttäjille?
- Miten VDI-ympäristöjä tutkitaan rikosteknisten menetelmien avulla?
- Miten MDM-tiedot luokitellaan älypuhelinten tutkinnassa?
- Voidaanko etätyhjennys tai etäpoisto teknisesti palauttaa?
- Miten yritysverkostojen varmuuskopiointijärjestelmiä hyödynnetään tutkinnan lähteenä?
- Miten keskitettyjä lokijärjestelmiä ja SIEM-tietoja arvioidaan rikosteknologisesti?
- Miten palomuurilokeja käytetään todisteina tutkinnassa?
- Miten proxy- ja verkkoportaalilokeja arvioidaan yritysverkossa?
- Miten DHCP- ja verkkoyhteystietoja käytetään laitteiden kohdistamiseen?
- Miten WLAN-ohjaimen tietoja arvioidaan rikostutkinnassa?
- Voidaanko tietyn työaseman käyttö yrityksen verkossa todentaa?
- Miten tiedostopalvelimet, sähköposti ja päätelaitteet kytketään toisiinsa yhteiseksi tapahtumaketjuksi?
- Voidaanko selvittää, onko yritystietoja vuotanut yksityisten pilvipalveluiden kautta?
- Voidaanko tiedostojen lähetys verkkopalveluun todistaa teknisesti?
- Miten ladatun yritysasiakirjan alkuperä tarkistetaan?
Laitteiden, viestinnän ja sijainnin jäljet
- Miten poistettuja tiedostoja arvioidaan rikostutkinnassa?
- Miten digitaalinen tapahtumasarja rekonstruoidaan tutkijoille?
- Miten digitaalisia sijaintitietoja arvioidaan rikostutkinnassa?
- Miten pilvipohjaiset synkronointijäljet otetaan huomioon tutkinnassa?
- Miten Messenger-tietoja arvioidaan luotettavasti rikostutkinnassa?
- Miten sähköpostin alkuperä tarkistetaan rikostutkinnassa?
- Miten selaimen ja hakuhistoriaa arvioidaan rikostutkinnan yhteydessä?
- Miten SQLite-tietokantoja, WAL-tiedostoja ja lokitiedostoja arvioidaan rikostutkinnassa?
- Miten valokuvien ja videoiden metatietoja tarkastellaan rikostutkinnassa?
- Miten kuvakaappauksen aitous tarkistetaan?
- Mikä merkitys arkistoilla ja salatuilla säilytyspaikoilla on rikostutkinnassa?
- Miten virtuaalikoneita arvioidaan itsenäisinä tutkintaympäristöinä?
Muut kysymykset
- Miten toisen tahon laatima olemassa oleva IT-arvio tarkistetaan riippumattomasti?
- Miten automatisoidut jatkotoimenpiteet erotetaan manuaalisista toimista?
- Miten taustaprosesseja tarkastellaan vaihtoehtoisena selityksenä tiedostojen käyttöille?
- Miten järjestelmän ylläpito ja lokitiedostojen kierrätys otetaan huomioon syinä jälkien puuttumiseen?
- Voidaanko tietovuoto USB-laitteiden kautta jäljittää teknisesti?
- Voidaanko tietovuotoa jäljittää verkkojako-asemien kautta?
- Miten VPN:n käyttö otetaan huomioon internet-toimintojen luokittelussa?
- Miten proxy-, relay- tai Tor-yhteydet luokitellaan teknisesti?
- Mikä on IP-osoitteen todistusarvo rikostutkinnassa?
- Minkälaista todistusarvoa DNA-jäljillä on rikostutkinnassa?
- Miten järjestelmä- ja turvallisuuslokit arvioidaan tutkintatodisteina?
- Voidaanko hallinnollisten oikeuksien käyttöä tutkintamenettelyssä jäljittää?
- Voidaanko tilin kaappaus ottaa huomioon vaihtoehtoisena tekijähypoteesina?
- Miten jaetut tietokoneet otetaan huomioon syyllisen tunnistamisessa?
- Miten suuria tietomääriä analysoidaan kohdennetusti tietyn tutkintakysymyksen perusteella?
- Miten hakutermejä ja hakutuloksia validoidaan rikosteknologisesti?
- Miten poistettuja tietoja arvioidaan alueista, joihin niitä ei ole osoitettu?
- Miten carving-tulokset tulkitaan rikostutkinnassa?
- Voidaanko tiedosto liittää tiettyyn tallennusvälineeseen alkuperäisenä lähteenä?
- Miten digitaalisen todistusaineiston alkuperä dokumentoidaan?
- Miten käsitellään teknisesti muokattua todistusaineistoa?
- Miten puuttuvia tai katkonaisia todistusketjuja arvioidaan teknisesti?
- Miten ristiriitaiset ensimmäiset ja toiset tulokset ratkaistaan?
- Miten parsausvirheet ja tulkintavirheet tunnistetaan olemassa olevissa raporteissa?
- Miten pilvipalvelusta, Server:stä ja päätelaitteesta peräisin olevat erilaiset aikalähteet yhtenäistetään?
- Miten laitteiden kellot synkronoidaan ulkoisten vertailuaikojen kanssa?