IT forenzika · Sudovi

Je li moguće utvrditi tko je koristio računalo ili pametni telefon?

Pitanje „Tko je koristio uređaj?“ jedno je od najčešćih – a istovremeno i najsloženijih – pitanja dokaza u IT forenzici. Prijavljeni korisnički račun ne dokazuje automatski da je osoba čije ime stoji na računu zapravo sjedila za uređajem. Isto vrijedi i za pametni telefon koji pripada jednoj osobi, ali ga je mogla koristiti treća strana.

Upitajte bez obaveze

Stoga pouzdana atribucija ne može biti izvedena iz jednog artefakta. Pouzdana klasifikacija ne može se stoga izvesti iz jednog artefakta. Ona proizlazi – ako uopće – iz lanca međusobno kompatibilnih tragova: prijave, statusa uređaja, korisničkog profila, komunikacijskih podataka, aktivnosti datoteka, lokalnih ili računalnih računa u oblaku, biometrijskih ili uređaju specifičnih pokazatelja gdje je primjenjivo, te vremenskog odnosa s drugim događajima.

Naš zadatak nije povezati korisnički račun s određenom osobom, nego objasniti sudu koje su veze tehnički provjerene, vjerojatne, tek moguće ili neprovjerljive.

Stvarno pitanje dokaza

Koje informacije bi mogla sadržavati korisnička dodjela?

Ovisno o uređaju i problemu, relevantni mogu biti događaji prijave, korisnički računi, podaci o sesiji, veze uređaja, računi aplikacija, zapisi komunikacije, referencije na lokaciju ili mrežu te aktivnosti datotečnog sustava. Korelacija je ključna.

Primjer: prijava na Windows u 10:02, otvaranje dokumenta u 10:05 i poruka poslana odmah potom s računa prijavljenog pod istim profilom, zajedno, mogu biti otkrivajuća više nego bilo koji pojedinačni dokaz. Ipak, potrebno je provjeriti mogu li se automatizirani procesi, daljinski pristup ili uporaba od strane trećih strana smatrati alternativnim objašnjenjima.

Gdje leže granice onoga što se može reći

Tehnički artefakti često u početku identificiraju račun, sesiju ili uređaj – a ne nužno osobu koja stoji iza njih. Ova razlika mora ostati jasna u stručnom izvješću.

Zašto LanCologne?

U slučaju sudom naloženih istraga, za nas nije presudno koji program analize prvi prikaže podudarnost. Presudno je može li se pitanje dokaza riješiti na tehničkoj osnovi i može li taj odgovor izdržati neovisnu provjeru.

Usvajamo otvoren pristup, dokumentiramo podrijetlo ključnih nalaza i ispitujemo alternativna tehnička objašnjenja. Stvarna analiza uvijek se provodi na forenzičkoj kopiji ili skupu podataka koji je zabilježen na način koji očuva njegov dokazni integritet. Originalni materijali se ne pregledavaju izravno, osim ako je to apsolutno nužno. Ako su tehnički nužne intervencije na izvornim podacima, sve promjene koje iz njih proizlaze izričito se dokumentiraju.

Ovisno o istraživačkom pitanju, ključni nalazi provjeravaju se ili primjenom druge metode prikladne za predmet istraživanja ili izravno na temelju izvornih podataka. Alati koji se koriste u tu svrhu ovise o dokazima i istraživačkom pitanju. Odlučujući čimbenici su prikladnost, stručno priznavanje i sljedivost metode – a ne naziv proizvoda.

Naš izvještaj razlikuje činjenična utvrđenja, tehničku procjenu i preostalu nesigurnost. Utvrđenje nedetekcije opravdano je jednako pažljivo kao i pozitivno utvrđenje.

Kako postupamo s sudski naloženim dodjelama

Kako radimo – od sudske odluke do odgovora

Prvo provjeravamo spada li predmet u naše područje stručnosti, na kojim činjenicama sud temelji svoju odluku i je li sadržaj ili opseg upute jasan. Ako postoje bilo kakve sumnje, sud će zatražiti pojašnjenje. To je u skladu s člancima 404a i 407a Zakona o parničnom postupku (ZPO).

Svi razlozi koji bi mogli izazvati sumnje u nepristranost ispituju se prije početka glavne istrage i, gdje je to primjereno, otkrivaju se sudu.

Uređaji, mediji za pohranu podataka, sigurnosne kopije i datoteke koje se dostave identificirani su i dokumentirani. Stanje u trenutku istrage zabilježeno je.

Gdje je tehnički izvedivo, izrađuje se forenzička kopija ili slika. Hash vrijednosti i druge provjere integriteta koriste se za osiguranje nedvosmislene identifikacije. Izvorni materijal se zadržava za naknadnu verifikaciju.

Određujemo koje bi dokaze podržale navodni incident, koja su kontradiktorna otkrića moguća i koja alternativna tehnička objašnjenja treba ispitati.

Istražuju se samo oni artefakti koji imaju akademsku vrijednost u vezi s postavljeno pitanjem. Automatski podudari se ne prihvaćaju bez provjere.

Nalazi relevantni za odluku – gdje je potrebno – provjeravaju se unakrsno pomoću druge priznate metode, drugog tehničkog pristupa ili izravno na sirovim podacima.

Izričito ispitujemo koje zaključke ne smijemo izvući iz podataka. Identificiramo nedostajuće podatke, moguća brisanja, tehnička ograničenja, nepotpune ekstrakcije ili kontradiktorne tragove.

Konačni zaključak izvodi se iz dokumentiranih nalaza. Ne iznosi se u jačim terminima nego što to podaci dopuštaju.

Glavni tekst ostaje pristupačan čak i onima bez predznanja iz digitalne forenzike. Tehnički dodatak sadrži informacije potrebne neovisnom IT forenzičkom stručnjaku za provođenje tehničke revizije ili davanje drugog mišljenja.

Članci 403, 404a, 407a i 411 Zakona o parničnom postupku (ZPO); članak 286 Zakona o parničnom postupku (ZPO) za konačnu sudsku procjenu. U kaznenom postupku članci 72 i nadalje Zakona o kaznenom postupku (StPO).

Stručnjak pruža činjeničnu osnovu za slučaj. Pravna procjena i konačna ocjena dokaza ostaju u nadležnosti suda.

Često postavljana pitanja

LanCologne – IT forenzika za sudove

Trebate li neovisnu tehničku istragu u vezi s dokazima pred sudom? LanCologne ispituje digitalne dokaze objektivno, transparentno i na reproducibilan način. Dokumentiramo i pozitivne nalaze i odsutnost dokaza, kao i tehnička ograničenja, na način da zaključci ostanu razumljivi sudu i provjerljivi od strane neovisnog IT forenzičkog stručnjaka.

Kontaktirajte nas odmah