Ovaj pregled objedinjuje sva pitanja i odgovore vezane uz IT forenziku za sudove na LanCologne – od mapiranja korisnika i računa, preko datoteka, metapodataka i tragova komunikacije, do nedosljednosti u digitalnim dokazima i uloge IT stručnjaka u sudskom postupku. Kliknite na kategoriju da biste vidjeli relevantna pitanja.
Mapiranje korisnika i računa
- Je li moguće utvrditi tko je koristio računalo ili pametni telefon?
- Može li se određeni unos korisnika tehnički provjeriti?
- Može li se stvarno slanje poruke razlikovati od njezine puke postojanosti u računu?
- Je li moguće razlikovati lokalni korisnički račun, domenski korisnički račun i račun u oblaku?
- Je li moguće rekonstruirati korisnički prekidač ili istovremenu korisničku sesiju?
- Koliko je pouzdana automatska registracija?
- Može li se digitalni artefakt povezati s određenim korisničkim profilom?
- Kako bi se trebali procjenjivati artefakti iz zajedničkih ili tehničkih računa?
- Je li moguće razlikovati jesu li digitalni podaci generirani automatski ili kao rezultat korisničke radnje?
- Je li moguće utvrditi je li korisnički račun kompromitiran ili ga je treća strana koristila?
- Kako se procjenjuju digitalni tragovi kada više uređaja koristi isti račun?
- Može li se digitalna radnja izvršena na zajedničkim računalima pripisati određenom korisniku?
- Je li moguće pouzdano razlikovati lokalni korisnički račun, domenski korisnički račun i račun u oblaku?
- Je li moguće provjeriti promjenu korisnika ili istovremenu korisničku sesiju?
- Koliko je značajan automatski prijem za dodjelu korisnika?
- Može li se digitalni artefakt povezati s određenim korisničkim profilom u sustavu s više korisnika?
Komunikacija: chat, e-pošta i poruke
- Je li tehnički moguće provjeriti autentičnost i cjelovitost povijesti chata?
- Je li tehnički moguće pratiti podrijetlo i put e-pošte?
- Koliko su pouzdane push obavijesti kao digitalni dokaz?
- Što zapravo dokazuje digitalna potvrda o primitku?
- Kako bi se trebale procjenjivati razlike u statusu poruke na strani pošiljatelja i primatelja?
- Je li moguće razlikovati primanje, spremanje, otvaranje i obradu privitka e-pošte?
- Je li moguće utvrditi je li e-pošta proslijeđena ili je njezin sadržaj ručno kopiran?
- Koliko su pouzdani zaglavlja e-pošte kao pokazatelji podrijetla i puta prijenosa?
- Je li moguće utvrditi je li e-pošta izbrisana lokalno, na poslužitelju ili putem sinkronizacije?
Fotografije, videozapisi i multimedija
- Može li se iz zaključanog zaslona zaključiti stvarna upotreba uređaja?
- Je li moguće utvrditi je li fotografija ili video snimljen određenim uređajem?
- Je li moguće razlikovati originalni snimak, uređenu datoteku i pretvorenu kopiju?
- Koliko su informativne sličice za pregled i keš minijatura?
- Koliko je snimka zaslona pouzdan dokaz?
- Koliko su pouzdani metapodaci fotografija i videa kao dokaz na sudu?
- Prikazna slika ili minijatura li pokazuju je li povezana datoteka otvorena?
Uređaji, mrežni i sustavni artefakti
- Je li moguće utvrditi je li uređaj bio priključen na određeni WLAN?
- Koju važnost imaju identične datoteke na više uređaja?
- Je li moguće utvrditi koji je uređaj izvorno napravio sinkroniziranu promjenu?
- Može li se tehnički potvrditi navodni slučaj daljinskog pristupa računalu?
- Je li moguće rekonstruirati vrijeme prebacivanja mrežne veze uređaja?
- Je li moguće utvrditi je li ažuriranje sustava izmijenilo ili izbrisalo digitalne tragove?
- Kako migracija na novi uređaj utječe na procjenu dokaza?
- Je li moguće utvrditi je li određeni vanjski uređaj bio priključen na računalo?
- Je li moguće utvrditi je li određeni softver instaliran ili je trenutno pokrenut?
- Je li moguće retrospektivno utvrditi je li program, koji je u međuvremenu deinstaliran, prethodno bio instaliran?
- Je li moguće utvrditi je li podatke preneseno ili im se pristupilo putem mrežne poveznice?
- Koju važnost sud pridaje nestabilnim podacima iz glavne memorije?
- Može li se sesija daljinskog radnog stola ili daljinskog pristupa verifikirati unazad?
- Je li moguće utvrditi je li uređaj bio zaključan ili aktivno u upotrebi u relevantno vrijeme?
- Je li moguće utvrditi na koju je mrežu uređaj bio priključen u određenom trenutku?
- Kako se vremenski pečati iz vanjskih Server uređaja uspoređuju s vremenom lokalnog uređaja?
- Kako bi ažuriranja sustava mogla utjecati na digitalne tragove?
- Može li se migracija s starog uređaja na novi otkriti forenzičkom analizom?
Brisanje, oporavak i sigurnosno kopiranje
- Je li moguće dokazati je li podatke namjerno izbrisano?
- Koje bi tragove moglo ostaviti vraćanje iz sigurnosne kopije?
- Što se još uvijek može pouzdano utvrditi nakon tvorničkog resetiranja?
- Koja je dokazna vrijednost sigurnosnih kopija, snimaka stanja i povijesnih sigurnosnih kopija?
- Je li moguće utvrditi je li uređaj za pohranu podataka formatiran ili je li operativni sustav ponovno instaliran?
- Koju težinu pred sudom imaju artefakti 'Recycle Bin' i 'Trash'?
- Je li moguće utvrditi je li izbrisana podatke naknadno prebrisana?
- Kako vraćanje podataka iz sigurnosne kopije utječe na procjenu dokaza?
- Koje su informacije još uvijek dostupne nakon tvorničkog resetiranja?
Autentifikacija, enkripcija i kontrola pristupa
- Je li moguće razlikovati autentifikaciju temeljenu na lozinki, biometrijsku i sesijsku autentifikaciju?
- Koju težinu u sudu imaju pohranjene lozinke, tokeni i podaci za prijavu?
- Koliko su sigurni šifrirani spremnici i virtualni mediji za pohranu?
- Koju vrstu izjave je dopušteno dati kada su dokazi šifrirani ili samo djelomično dostupni?
- Kako se digitalni potpis tehnički provjerava?
Anonimizacija, VPN-ovi i mrežni tragovi
- U kojoj mjeri korištenje VPN-a utječe na pripisivanje digitalnih aktivnosti?
- Kako se u forenzičkom kontekstu klasificiraju proxy, relay ili anonimizacijske veze?
- Koliko su DNS tragovi pouzdani kao dokaz internetske aktivnosti?
- U kojoj mjeri korištenje VPN-a utječe na pripisivanje internetske aktivnosti?
Oblačni sustavi, virtualni sustavi i kontejnere
- Je li moguće utvrditi je li arhiva izdvojena ili je njezin sadržaj korišten?
- Kako se virtualne mašine ispituju kao digitalni dokazi?
- Je li moguće utvrditi je li virtualna mašina radila u određenom trenutku?
- Koliku težinu u sudskoj proceduri imaju zapisi o sinkronizaciji u oblaku?
- Koju težinu na sudu imaju šifrirani spremnici i virtualni mediji za pohranu podataka?
- Kako se virtualne mašine ispituju kao digitalni dokazi?
Datoteke, metapodaci i vremenski žigovi
- Je li moguće utvrditi kada je datoteka stvorena ili izmijenjena?
- Je li moguće utvrditi je li datoteka doista otvorena ili korištena?
- Je li moguće utvrditi je li datoteka samo pregledana ili je doista uređena?
- Koliko su pouzdani nacrti, automatski spremljene datoteke i privremeni dokumenti?
- Može li se datoteka povezati s određenim programom kojim je stvorena?
- Je li moguće utvrditi je li dokument izvezen iz druge datoteke?
- Mogu li tragovi u međuspremniku dokazati da je izvršena operacija kopiranja i lijepljenja?
- Koju težinu na sudu imaju ZIP, RAR i druge arhivske datoteke?
- Koliko je digitalna vremenska crta pouzdana na sudu?
- Koliko su pouzdani indeksi pretraživanja i sadržaj indeksiranih datoteka?
- Može li se stvarno pretraživanje razlikovati od pukog indeksiranja?
- Je li moguće utvrditi je li digitalna akcija pokrenuta zakazanim zadatkom ili automatizacijom?
- Je li moguće utvrditi je li autorizacija bila na snazi u određenom trenutku?
- Mogu li se pratiti promjene dozvola korisnika ili grupe?
- Kada je zapravo dopušteno izvući zaključak iz odsutnosti digitalnog artefakta?
- Je li moguće dokazati je li digitalni dokument naknadno izmijenjen?
- Je li moguće utvrditi koja je verzija dokumenta bila dostupna u određenom trenutku?
- Je li moguće utvrditi je li datoteka preuzeta s interneta?
- Je li moguće utvrditi je li računalo u određenom trenutku bilo uključeno ili isključeno?
- Je li moguće utvrditi jesu li datoteke preimenovane ili premještene unutar sustava?
- Kakvu težinu na sudu imaju povraćene datoteke ili one sačuvane samo u fragmentima?
- Je li moguće utvrditi je li datoteka ili informacija ispisana?
- Je li moguće utvrditi je li datoteka doista otvorena?
- Je li moguće dokazati da je osoba doista obratila pažnju na sadržaj digitalne datoteke?
- Je li moguće utvrditi je li datoteka kopirana, premještena ili sinkronizirana?
- Je li tehnički moguće odrediti točno vrijeme kada se podaci brišu?
- Može li se dokazati pristup datoteci iako je sama datoteka ostala nepromijenjena?
- Je li moguće otkriti bilo kakvo neovlašteno mijenjanje vremenskih oznaka datoteka ili sustava?
- Je li moguće razlikovati originalnu medijsku datoteku od pretvorene ili ponovno spremljene verzije?
- Koliko su pouzdani indeksi pretraživanja kao pokazatelji postojanja ili korištenja datoteke?
Protuslovlja, vjerodostojnost i procjena dokaza
- Kako IT stručnjak provjerava navodni slijed događaja kada se digitalni dokazi međusobno proturječe?
- Koliko su pouzdani metapodaci koje se mogu ručno izmijeniti kao dokaz?
- Može li zlonamjerni softver biti alternativno objašnjenje za digitalnu radnju?
- Kako bismo se trebali nositi s proturječnim digitalnim tragovima?
- Kako se tehnička vjerodostojnost navodnog digitalnog lanca događaja provjerava?
- Kako IT stručnjak procjenjuje dva tehnički vjerodostojna objašnjenja?
- Kako bi tehnička ne-verifikacija trebala biti jasno navedena u izvješću?
- Kako bi se trebalo postupiti s proturječnim digitalnim dokazima u IT stručnom nalazu?
Izvještaji vještaka, sudski postupci i vještaci
- Kako se neovisnost i neutralnost IT stručnjaka provode u praksi?
- Zašto IT izvješće mora biti razumljivo ne-forenzičkim stručnjacima?
- Zašto je tehnički prilog bitan dio sveobuhvatnog IT izvještaja?
- Kako bi IT izvješće trebalo biti strukturirano kako bi se osiguralo da se može reproducirati za mogući protuizvještaj?
- Kako se može konačno i nedvosmisleno odgovoriti na pravno pitanje u vezi s IT dokazima?
- Kako se u izvješću uzimaju u obzir vremenske zone, ljetno računanje vremena i neispravni satovi sustava?
- Kako se može tehnički pregledati postojeći privatni IT izvještaj?
- Stručnjak ili vještak – koja je razlika kad je riječ o digitalnim dokazima?
- Kako se IT stručni nalaz predstavlja na sudu i ispituje odgovarajući na dopunska pitanja?
- Kakav utjecaj ima nepotpuni lanac skrbi na tehničku valjanost nalaza?
- Što se događa ako tijekom IT forenzičke istrage izađu na vidjelo novi činjenični podaci koji nisu obuhvaćeni sudskim nalogom?
- Gdje prestaje tehnički zaključak IT stručnjaka, a gdje počinje sudska procjena dokaza?
Ostala pitanja u vezi s dokazima
- Koja je dokazna vrijednost snimke zaslona ili fotografije digitalnog sadržaja?
- Je li moguće dokazati je li podatke kopirano na USB pohranjivač?
- Kako se digitalni dokazi mogu osigurati na način da istraga ostane provjerljiva u kasnijem roku?
- Koliko su pouzdani digitalni podaci o lokaciji kao dokaz na sudu?
- Je li tehnički moguće rekonstruirati navodnu upotrebu interneta ili preglednika?
- Je li moguće pratiti podrijetlo digitalne datoteke ili skupa podataka?
- Kako se postupa s oštećenim ili nepotpunim digitalnim dokazima?
- Kako se na sudu ocjenjuju unosi u bazu podataka i tragovi WAL/žurnala?
- Koju težinu imaju sustavni i događajni zapisi na sudu?
- Može li IP adresa biti povezana s određenom osobom?
- Postoje li dokazi o anti-forenzici ili namjernom falsificiranju dokaza?
- Što je konačnije: izvorni podaci, forenzička sigurnosna kopija ili izvezena izvješća?
- Kada bi bilo prikladno naručiti novu IT forenzičku procjenu prema članku 412. njemačkog Zakonika o građanskom postupku (ZPO)?
- Je li moguće dokazati je li digitalni dokaz izmijenjen otkako je zaplijenjen?
- Je li moguće utvrditi je li korištena administrativna ili povišena privilegija?
- Kako bi se trebalo procijeniti digitalni dokaz ako je prije forenzičkog očuvanja dodatno korišten?
- Može li se slijed nekoliko digitalnih radnji pouzdano rekonstruirati?
- Je li tehnički moguće provjeriti autentičnost i podrijetlo snimke zaslona?
- Je li moguće utvrditi kada je ZIP, RAR ili neka druga arhiva stvorena ili izdvojena?
- Je li moguće utvrditi iz kojeg je izvornog dokumenta stvorena PDF datoteka?