IT forenzika · Istražne vlasti

Kako se unutar korporativne mreže analiziraju zapisi proxyja i web-gatewaya?

Unternehmensproxies können Webanfragen Benutzerkonten oder Geräten zuordnen.

Zašto je ovo pitanje važno istražnim vlastima

U složenim kaznenim istragama rijetko je dovoljan samo jedan tehnički podudaranje. Ključni je čimbenik jesu li uređaj, račun, korisnik, Server i referencije u oblaku pravilno odvojeni jedni od drugih, a zatim povezani samo ondje gdje podaci doista podupiru takvu vezu.

Tehnički istraživački pristup

Wir prüfen Authentifizierung, Clientadresse, URL, Zeit, Cache- und Policyverhalten sowie lokale Browserdaten.

Gdje leže granice onoga što se može reći

Ein Proxyrequest kann automatisch oder durch Hintergrundsoftware ausgelöst worden sein und beweist nicht automatisch bewusste Kenntnisnahme.

Zašto LanCologne?

LanCologne nadopunjuje interne kapacitete istražnog tijela kada je potrebna složena, specijalizirana tehnička pitanja, neovisna provjera ili dodatna detaljna analiza. Polazna točka je uvijek konkretno pitanje koje se istražuje.

Ne radimo s ciljem potvrđivanja unaprijed postojeće hipoteze. Tehnička otkrića koja ukazuju na krivnju ili nevinost ocjenjuju se prema istim kriterijima. To je osobito važno u složenim korporativnim, cloud i okruženjima s više uređaja, jer identičan sadržaj, računi ili mrežni tragovi često mogu imati nekoliko tehnički vjerojatnih uzroka.

Izvorni podaci su jasno dokumentirani. Gdje je to tehnički izvedivo, analiza se provodi na provjerenim sigurnosnim kopijama ili odgovarajućim radnim primjercima. Kritični rezultati se ne prihvaćaju isključivo na temelju automatiziranog izvještaja. Provjeravaju se njihovo podrijetlo, logika njihove generacije i kontekst sustava; gdje je potrebno, ključni nalaz se potvrđuje primarnim podacima ili neovisnom sekundarnom metodom.

Nalazi su formulirani na način da istražitelji i tužitelji mogu utvrditi što je tehnički dokazano, što je samo potkrijepljeno dokazima, koji postoje kontradiktorni nalazi i koja su pitanja ostala neriješena. Ključna tehnička osnova ostaje jasno dokumentirana za naknadnu sudsku reviziju.

Od sažetka istrage do pouzdane izjave

1Definirajte opseg istrage, obuhvat ispitivanja i tehničko sustavno okruženje.

2Provjerite trebaju li dodatni izvori podataka ili kontekstualne informacije za iznošenje čvrste tvrdnje.

3Jasno dokumentirajte dokaze i izvore podataka te provjerite njihov integritet što je više moguće.

4Razdvojite međusobne reference uređaja, računa, sesije, Server i oblaka.

5Definirajte hipotezu testa koja će se testirati i tehnički prihvatljive alternativne hipoteze.

6Sistematizirano analizirati relevantne primarne izvore i procijeniti ključne zapise ili artefakte u kontekstu sustava.

7Usklađujte nalaze iz različitih izvora s obzirom na vrijeme i metodologiju.

8Neovisno provjerite automatizirana podudaranja koja se odnose na točke dokaza.

9Otvoreno dokumentirajte nedosljednosti, praznine u pokrivenosti i tehnička ograničenja.

10Jasno odgovorite na istraživačko pitanje i omogućite naknadnu tehničku recenziju.

Nalazi koji potvrđuju ili opovrgavaju dijagnozu

Istraga ostaje otvorena. Ako nekoliko pouzdanih izvora potvrdi određenu liniju istrage, njihov se tehnički odnos prikazuje na jasan i razumljiv način. Ako drugi izvori to opovrgavaju ili ako alternativno tehničko objašnjenje ostaje moguće, i to se dokumentira. Nije uloga stručnjaka rješavati kontradikcije u korist željenog narativa.

Razumljivo istražnim tijelima, obrani i sudu

Glavni nalaz je formuliran jasnim jezikom. Tehnički odjeljak dokumentira izvore, vremenske reference, identitete, informacije o integritetu i korelacije koje su ključne za pregled. To omogućuje drugom kvalificiranom IT forenzičkom stručnjaku da naknadno provjeri ključne nalaze koristeći isti skup podataka.

LanCologne kao neovisni vanjski IT forenzički stručnjak

Kada agencija za provedbu zakona treba da složeni digitalni predmet bude detaljno ili neovisno ispitano, LanCologne pruža podršku kroz transparentnu, nepristranu istragu. Fokus nije na broju tehničkih nalaza, već na pružanju pouzdanog odgovora na specifično pitanje koje se istražuje.

Pravni okvir

Odgovornost za provođenje istrage i davanje pravnih procjena ostaje na nadležnim tijelima za provedbu zakona. Članak 160 Zakonika o kaznenom postupku (StPO) nalaže Državnom odvjetništvu da utvrdi činjenice slučaja i izričito ga obvezuje istražiti i okolnosti koje terete i one koje oslobađaju. Prema članku 161. Zakonika o kaznenom postupku, Državno odvjetništvo može samostalno provoditi istrage ili ih povjeriti tijelima i policijskim službenicima; članak 163. Zakonika o kaznenom postupku propisuje dužnosti policije tijekom predistražnih radnji.

U načelu se odjeljci 72 i sl. Zakonika o kaznenom postupku (StPO) primjenjuju na vještake. Članak 161a(1) StPO-a zahtijeva od vještaka da se na poziv odazovu pred državnim odvjetništvom i daju svoje vještačko mišljenje; osim ako nije drugačije propisano, odredbe članka 7. Knjige I primjenjuju se mutatis mutandis. Članak 82. Zakonika o kaznenom postupku (StPO) odnosi se na oblik u kojem se vještački nalazi pripremaju tijekom predistražnog postupka.

Zapljena i konfiskacija uređene su, između ostalog, člancima 94. i 98. Zakonika o kaznenom postupku. Članak 110. stavak 3. Zakonika o kaznenom postupku uređuje pregled elektroničkih medija za pohranu podataka i, pod uvjetima u njemu navedenima, također dopušta osiguranje podataka relevantnih za istragu. Odluke o zakonitosti, opsegu i nalogu za takve mjere donose nadležne državne vlasti, a ne LanCologne.

Prema odjeljku 1. stavku 3. JVEG-a, angažman policije ili druge policijske vlasti u ime državnog odvjetništva ili uz njegovu prethodnu suglasnost smatra se jednakovrijednim angažmanu državnog odvjetništva u svrhu naknade.

Često postavljana pitanja

Kako se unutar korporativne mreže analiziraju zapisi proxyja i web-gatewaya?+

Unternehmensproxies können Webanfragen Benutzerkonten oder Geräten zuordnen. In komplexen Ermittlungsverfahren reicht ein einzelner technischer Treffer selten aus.

Kako se takva tehnička istraga provodi u praksi?+

Wir prüfen Authentifizierung, Clientadresse, URL, Zeit, Cache- und Policyverhalten sowie lokale Browserdaten.

Donosi li istraga uvijek jasan rezultat koji okrivljuje ili oslobađa osumnjičenika?+

Ein Proxyrequest kann automatisch oder durch Hintergrundsoftware ausgelöst worden sein und beweist nicht automatisch bewusste Kenntnisnahme.

Postoji li za ovo pravna osnova?+

Odgovornost za provođenje istrage i davanje pravnih procjena ostaje na nadležnim tijelima za provedbu zakona. Članak 160 Zakonika o kaznenom postupku nalaže državnom odvjetništvu da utvrdi činjenice slučaja i izričito ga obvezuje istražiti i okolnosti koje terete i one koje oslobađaju.