IT forenzika · Sudovi

Koju težinu u sudu imaju pohranjene lozinke, tokeni i podaci za prijavu?

Pohranjeni podaci za prijavu mogu uspostaviti tehničku vezu s uslugom ili računom. Međutim, oni ne otkrivaju automatski kada, tko je pristupio računu niti u koju svrhu je račun korišten.

Upitajte bez obaveze

Za sud broj programa koji su korišteni nije odlučujući čimbenik. Odlučujuće je koje se tehničke činjenice mogu pouzdano utvrditi iz dostupnih podataka, kako je do tog nalaza došlo i koja ograničenja vrijede pri njegovoj interpretaciji.

Konkretno pitanje dokaza

Razlikujemo obične podatke, zaštićene spremišta vjerodajnica, sesijske tokene, kolačiće i druge artefakte autentifikacije te ispitujemo njihov kontekst kao i njihov potencijal za automatiziranu upotrebu u aplikacijama.

Zašto je tehnički kontekst ključan

Digitalni tragovi ne nastaju u izolaciji. Operativni sustav, aplikacija, usluga u oblaku, mreža i kontekst korisnika mogu na različite načine proizvesti iste vidljive dokaze. Iz tog razloga pojedinačni vremenski žig, zapis u dnevniku ili vrijednost u bazi podataka ne smatraju se konačnim dokazom bez ispitivanja logike njihova nastanka. Po potrebi se više neovisnih tragova međusobno korelira.

Gdje leže granice onoga što se može reći

Posjedovanje vjerodajnice ne dokazuje ni njezinu stvarnu upotrebu ni identitet korisnika. Nadalje, tokeni se mogu automatski obnavljati ili sinkronizirati.

Kako LanCologne rješava pitanje koje zahtijeva dokaz

U LanCologne forenzičke IT istrage započinju rješavanjem pitanja dokaza, umjesto odabira određenog programa za analizu. Prvi korak je utvrditi koje tehničke činjenice treba razjasniti, koji su izvori podataka relevantni za to i koja alternativna objašnjenja treba ozbiljno razmotriti.

Izvorni podaci i dokazi su dokumentirani. Gdje je tehnički izvedivo, analiza se provodi na provjerenim forenzičkim sigurnosnim kopijama ili odgovarajućim radnim primjercima. Automatski generirani podudaranja ne prihvaćaju se bez provjere kada su relevantna za odluku. Odlučujući su podrijetlo, logika njihove izrade i kontekst pojedinog artefakta. Ključni nalazi se, gdje je to potrebno, provjeravaju u odnosu na temeljne podatke ili korištenjem druge, tehnički prikladne metode.

U stručnom izvještaju nalazi činjenica, tehničko tumačenje i zaključci drže se odvojeno. Jednako je važan opseg nalaza: Što je tehnički dokazano? Što je tek potkrijepljeno? Koji postoje protunalazi? Koja alternativna objašnjenja ostaju moguća? Što se ne može utvrditi na temelju dostupnih podataka?

Glavni dio izvješća napisan je na način razumljiv sudcima i ostalim stranama u postupku koji nemaju specijalističko znanje iz IT forenzike. Tehnička provjerljivost je očuvana. Izvori podataka, informacije o integritetu, artefakti i istražni koraci bitni za neovisnu provjeru dokumentirani su na transparentan način u tehničkom dijelu.

Od sažetka do čvrstog zaključka

Pozitivan rezultat, negativan rezultat i nije pronađen nikakav dokaz

Sudski vještački nalaz mora ostati otvoren. Ako podaci podupiru hipotezu, nalaz objašnjava kako. Ako pouzdani dokazi proturječe hipotezi, i to se iznosi. Ako je skup podataka nedovoljan, nedostatak dokaza se izričito navodi. Iz praznine u podacima ne izvodi se naizgled siguran zaključak.

Razumljivo sudu – provjerljivo od strane suprotnog stručnjaka

Tehničko jezgro objašnjeno je jasnim, pristupačnim jezikom. Tehnički se izrazi koriste samo gdje je to nužno i potom se definiraju. Istovremeno su ključni tehnički principi dokumentirani na način da neovisni IT forenzički analitičar može pratiti tok razmišljanja koristeći isti skup podataka i, gdje je potrebno, reproducirati rezultate.

Metodološka klasifikacija

Ne postoji zakonski propisani popis programa za analizu u forenzičkim IT istragama. S tehničke strane, ključni zahtjevi su kontrolirani skup podataka, integritet podataka, dokumentirani koraci istrage, provjerljivi zaključci i mogućnost neovisne verifikacije.

BSI osnovni modul zaštite DER.2.2, „Pripreme za IT forenziku“, sadrži korisne smjernice za pripremu budućih IT forenzičkih istraga i osiguravanje dokaza u slučaju sigurnosnih incidenata u IT okruženju. Međutim, izričito nije skup pravila za IT forenzičke istrage u kaznenim predmetima, niti je stvarna forenzička analiza predmet ovog modula. Stoga se ne predstavlja kao forenzički standard za kazneni postupak.

LanCologne kao neovisni IT stručnjak

Kada sud treba razjasniti određeno pitanje vezano uz digitalne dokaze iz tehničke perspektive, mi neovisno i bez predrasuda ispitujemo dostupne podatke. Cilj nije proizvesti što više tehničkih nalaza, nego pružiti tehnički utemeljen odgovor: onaj koji je razumljiv sudu, transparentan u svom obrazloženju i tehnički provjerljiv.

Članci 402. i sl. Zakona o parničnom postupku (ZPO) osobito su relevantni za vještački dokaz u građanskom postupku. Prema članku 404a ZPO-a, sud usmjerava rad vještaka i može odrediti prirodu i opseg njegovog rada. Kada su činjenični navodi sporni, sud određuje koje će činjenice činiti osnovu stručnog mišljenja. Članak 407a ZPO-a nalaže stručnjaku, između ostalog, da bez odgode utvrdi spada li mu zadatak u područje njegove stručnosti; sve sumnje u pogledu sadržaja i opsega zadatka mora razjasniti sud. Pisani vještački nalaz i sva objašnjenja ili dopune uređuje članak 411. ZPP-a. Konačnu procjenu vještačkog nalaza, zajedno s cjelokupnim ishodom prikupljanja dokaza, i dalje je u nadležnosti suda (članak 286. ZPP-a).

U slučaju vještačkih izvještaja u kaznenom postupku primjenjuju se članci 72. i sl. Zakona o kaznenom postupku (StPO) na vještake; članak 78. StPO odnosi se na nadzor rada vještaka od strane suca. Koje su odredbe relevantne u određenom slučaju ovisi o vrsti postupka i nalogu za vještačenje. IT forenzička procjena ne zamjenjuje pravnu procjenu.

Često postavljana pitanja

LanCologne – IT forenzika za sudove

Imate li digitalni upit? LanCologne vam može pomoći s objektivnom, nepristranom IT forenzičkom istragom.

Kontaktirajte nas odmah