IT-rikostutkinta · Linux
Miksi Linux-rikostutkinnassa tarvitaan useita työkaluja ja manuaalista tarkastelua
Linux-jakelujen, tiedostojärjestelmien, ytimen versioiden ja konfigurointivaihtoehtojen valtava moninaisuus johtaa siihen, ettei yksikään rikostekninen työkalu voi luottaa rajoituksetta mihinkään mahdolliseen järjestelmäkokoonpanoon.
Linux-järjestelmissä tämä seikka on erityisen tärkeä, koska jakelupaketit, ytimen versiot, muistirakenteet ja turvamekanismit voivat vaihdella huomattavasti. Klassista Debian-Server-järjestelmää, kontitoitua Kubernetes-solmua ja sulautettua järjestelmää ei saa käsitellä saman teknisen mallin mukaisesti. Tiedostojärjestelmä, salaus, suoritusympäristö ja järjestelmän kulloinenkin tila määräävät, mitkä tiedot ovat käytettävissä ja mikä varmuuskopiointimenetelmä aiheuttaa vähiten muutoksia.
Vasta useiden teknisesti erilaisilla periaatteilla toimivien työkalujen kohdennettu käyttö yhdistettynä perusteelliseen manuaaliseen tarkastukseen mahdollistaa rikosteknisen johtopäätöksen, joka kestää myös kolmansien osapuolten kriittisen tarkastelun.
Miksi LanCologne?
LanCologne ei tutki Linux-järjestelmiä yleisen vakiomallin mukaisesti, vaan kunkin järjestelmän laitteiston, jakelupaketin ja tietoturva-arkkitehtuurin perusteella. Henkilöstöllämme on vuosikymmenten kokemus tietotekniikasta ja pitkäaikainen käytännön kokemus IT-rikostutkinnasta. Autamme yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti tuomioistuimia ja viranomaisia digitaalisten seikkojen teknisessä selvittämisessä.
Tutkimus suoritetaan periaatteessa rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilytetään muuttumattomana tai, jos siihen joudutaan tekemään teknisesti väistämättömiä muutoksia, ne dokumentoidaan avoimesti ja säilytetään todistusvoimaisesti.
Toimintatapamme ja käyttämämme työkalut
Tutkimuksemme ei ala analysointiohjelman käynnistämisestä, vaan todisteiden keräämisestä. Järjestelmä, laitteisto, verkkoyhteys, näkyvä toimintatila ja käytettävissä olevat oheislaitteet dokumentoidaan. Sen jälkeen päätetään, onko järjestelmän oltava sammutettuna, onko reaaliaikainen tietojen kerääminen järkevää vai onko offline-käyttö rikosteknologisen pelastusjärjestelmän avulla teknisesti perusteltua.
Seuraavassa vaiheessa määritellään varmuuskopiointistrategia. Tässä yhteydessä erotamme toisistaan lohkopohjaisen kuvauksen, loogisen varmuuskopioinnin ja kohdennetun triage-menettelyn. Valinta ei riipu mukavuudesta, vaan tallennusarkkitehtuurista, salauksesta, järjestelmän käytettävyydestä ja konkreettisesta todistusaineistokysymyksestä. Mikäli se on teknisesti mahdollista, työskennellään kirjoitussuojatusti. Live-tallennusten yhteydessä väistämättömät tilamuutokset kirjataan nimenomaisesti lokiin.
Luotu varmuuskopio dokumentoidaan hajautusarvoilla. Varsinainen analyysi ei tapahdu alkuperäiskappaleella, vaan työkopiolla tai todennetulla todistuskuvalla. Näin voidaan käyttää jäsennimiä, hakutoimintoja tai omia apuohjelmia muuttamatta alkuperäistä todistusaineistoa jatkuvasti.
Käytämme tietoisesti useita teknisesti erilaisilla periaatteilla toimivia työkaluja rinnakkain ja tarkistamme jokaisen päätöksentekoon vaikuttavan havainnon lisäksi manuaalisesti, sen sijaan että luottaisimme yksittäisen ohjelman automaattiseen tulokseen.
Alaa tuntemattomalle lukijalle yksi seikka on tässä yhteydessä erityisen tärkeä: rikostekninen ohjelma ei „löydä" totuutta automaattisesti. Se lukee tietorakenteita ja tulkitsee niitä tunnettujen sääntöjen mukaisesti. Jos uusi ytimen tai jakelupaketin versio muuttaa protokollamuotoa tai tietorakennetta, jäsennin voi reagoida puutteellisesti tai virheellisesti. Siksi tarkistamme ratkaisevien havaintojen yhteydessä, mistä tiedostosta, tietokannasta tai tiedostojärjestelmän rakenteesta tulos on peräisin ja vahvistaako toinen tekninen menetelmä saman tosiasian.
Tämä on myös syy siihen, miksi käytämme useita työkaluja. The Sleuth Kit ja Autopsy pystyvät analysoimaan Linux-tiedostojärjestelmiä natiivisti ja avoimen lähdekoodin pohjalta; Belkasoft X tarjoaa toisenlaisen näkymän artefakteihin ja korrelaatioihin; X-Ways mahdollistaa erittäin yksityiskohtaiset tiedostojärjestelmän ja raakadatan tarkastukset. Jos riippumattomat analyysit ovat yhdenmukaisia, se lisää tulosten luotettavuutta. Jos ne eivät ole yhdenmukaisia, syy tutkitaan eikä valita yksinkertaisesti kätevintä osumaa.
Tyypillisiä käyttökohteita
Näin rikostekninen tutkimus etenee
Linux-järjestelmä tunnistetaan aluksi yksiselitteisesti ja dokumentoidaan valokuvin tai kirjallisesti. Kirjaamme ylös, onko järjestelmä päällä vai pois päältä, kirjautuneena sisään, lukittuna vai kytkettynä ulkoisiin tallennusvälineisiin tai verkkoihin. Nämä tiedot voivat olla ratkaisevia myöhemmin.
Määritetään jakelu, ytimen versio, tiedostojärjestelmä, salaus ja asiaankuuluvat suojausmekanismit. Vasta tämän perusteella voidaan valita sopiva keräysmenetelmä.
Varmuuskopio valitaan siten, että alkuperäiseen tiedostoon tehdään mahdollisimman vähän muutoksia. Tapauksesta riippuen voidaan käyttää lohkokohtaista kuvausta rikosteknologisen pelastusjärjestelmän avulla, käynnissä olevan järjestelmän reaaliaikaista tallennusta tai yksittäisten hakemistojen kohdennettua seulontaa. Jokainen vaihe kirjataan lokiin.
Luodut kuvat tai loogiset varmuuskopiot nimetään yksiselitteisesti, niille annetaan hajautusarvot ja ne tarkistetaan. Analysointi ja hakutoiminnot suoritetaan tämän jälkeen työkopioilla.
The Sleuth Kit eli Autopsy, Belkasoft X ja X-Ways yhdistetään toisiinsa kysymyksen luonteen mukaan. Tärkeää tulosta ei mahdollisuuksien mukaan oteta huomioon vain yhden jäsenninäkymän perusteella.
Jos todiste on erityisen merkityksellinen, epätavallinen tai sitä tuetaan vakio-ohjelmistoilla vain osittain, tarkastamme raakadataa, tietokantarakenteita sekä loki- tai tiedostojärjestelmätietoja manuaalisesti. Tarvittaessa käytämme omia työkalujamme.
Lopuksi emme vain luettele sitä, mitä työkalu on näyttänyt. Selitämme, mihin tekniseen lähteeseen tulos perustuu, millainen johtopäätös on perusteltu ja mitkä ovat sen rajoitukset.
Miksi tämä tutkimusalue on rikosteknologisesti merkityksellinen?
Linux-jakelujen, tiedostojärjestelmien, ytimen versioiden ja konfigurointivaihtoehtojen valtava moninaisuus johtaa siihen, ettei yksikään rikostekninen työkalu voi luottaa rajoituksetta mihinkään mahdolliseen järjestelmäkokoonpanoon.
Rikostekninen arvo ei perustu pelkästään löydetyn datan määrään, vaan sen alkuperään ja luotettavuuteen. Tiedostonimi, aikaleima tai lokimerkintä voi ilman asiayhteyttä olla harhaanjohtava. Siksi dokumentoimme, miten todiste on voinut syntyä, mitä vaihtoehtoisia selityksiä on olemassa ja mitkä muut jäljet tukevat löydöstä.
Vasta useiden teknisesti erilaisilla periaatteilla toimivien työkalujen kohdennettu käyttö yhdistettynä perusteelliseen manuaaliseen tarkastukseen mahdollistaa rikosteknisen johtopäätöksen, joka kestää myös kolmansien osapuolten kriittisen tarkastelun.
Erityisesti nykyaikaisissa Linux-järjestelmissä „perinteisen" tietovälineanalyysin yritys voi epäonnistua teknisten rajoitusten vuoksi. Salaus, kontitointi, väliaikainen muisti ja dynaamiset kokoonpanot osoittavat selvästi, miksi asiantunteva varmuuskopiointi ennen varsinaista analyysia on niin tärkeää. Tässä vaiheessa tehtyjä virheitä ei aina voida korjata jälkikäteen.
Usein kysyttyjä kysymyksiä
LanCologne – Linux-rikostutkinta Köln
Tarvitsetteko ammattimaisen selvityksen aiheesta „Miksi Linux-rikostutkinta vaatii useita työkaluja ja manuaalista tarkastelua"? LanCologne tukee teitä todistusvoimaisen aineiston turvaamisessa, monivaiheisessa analysoinnissa ja jäljiteltävissä olevassa dokumentoinnissa. Ratkaisevaa ei ole tuottaa mahdollisimman monta automaattista osumaa, vaan varmistaa teknisesti luotettavat ja todennettavissa olevat todisteet.