IT forenzika · Sudovi

Koje bi tragove moglo ostaviti vraćanje iz sigurnosne kopije?

Wird ein System oder Gerät aus einem Backup wiederhergestellt, entstehen neue Spuren, die leicht falsch gelesen werden: Dateien erhalten neue Erstellungszeiten, Programme erscheinen „installiert“, Nutzungsartefakte fehlen oder stammen aus der Zeit vor dem Backup. Für die gerichtliche Bewertung muss geklärt werden, welche Spuren vor und welche nach der Wiederherstellung entstanden sind.

Upitajte bez obaveze

Za sud broj programa koji su korišteni nije odlučujući čimbenik. Odlučujuće je koje se tehničke činjenice mogu pouzdano utvrditi iz dostupnih podataka, kako je do tog nalaza došlo i koja ograničenja vrijede pri njegovoj interpretaciji.

Technischer Hintergrund

Unterschiedliche Backup-Arten wirken unterschiedlich: Image-Restores übernehmen weitgehend alle Metadaten, dateibasierte Restores setzen häufig neue Erstellungszeiten, Geräte-Backups (z. B. iCloud) stellen App-Daten, aber nicht alle Systemprotokolle wieder her.

Relevante Spuren und Datenquellen

  • Restore-Protokolle der Backup-Software
  • Dateisystemzeiten ($STANDARD_INFORMATION vs. $FILE_NAME unter NTFS)
  • USN-Journal und Ereignisprotokolle rund um den Restore-Zeitpunkt
  • Geräteprotokolle zum Wiederherstellungsvorgang (iOS/Android)

Konkretno pitanje dokaza

Provjeravamo izvor sigurnosne kopije, vrijeme obnove, klase podataka koje su obnovljene te sve neslaganja između vremena sadržaja i vremena datotečnog sustava.

Zašto je tehnički kontekst ključan

Digitalni tragovi ne nastaju u izolaciji. Operativni sustav, aplikacija, usluga u oblaku, mreža i kontekst korisnika mogu na različite načine proizvesti iste vidljive dokaze. Iz tog razloga pojedinačni vremenski žig, zapis u dnevniku ili vrijednost u bazi podataka ne smatraju se konačnim dokazom bez ispitivanja logike njihova nastanka. Po potrebi se više neovisnih tragova međusobno korelira.

Grenzen

  • Wenn Restore-Protokolle fehlen, ist der Zeitpunkt oft nur eingrenzbar.
  • Daten, die nicht im Backup enthalten waren, fehlen dauerhaft.

Mögliche Ergebnisse

  • Zeitpunkt und Art des Restores belegt
  • Zuordnung strittiger Spuren zu Zeiträumen vor/nach dem Restore

Kako LanCologne rješava pitanje koje zahtijeva dokaz

U LanCologne forenzičke IT istrage započinju rješavanjem pitanja dokaza, umjesto odabira određenog programa za analizu. Prvi korak je utvrditi koje tehničke činjenice treba razjasniti, koji su izvori podataka relevantni za to i koja alternativna objašnjenja treba ozbiljno razmotriti.

Izvorni podaci i dokazi su dokumentirani. Gdje je tehnički izvedivo, analiza se provodi na provjerenim forenzičkim sigurnosnim kopijama ili odgovarajućim radnim primjercima. Automatski generirani podudaranja ne prihvaćaju se bez provjere kada su relevantna za odluku. Odlučujući su podrijetlo, logika njihove izrade i kontekst pojedinog artefakta. Ključni nalazi se, gdje je to potrebno, provjeravaju u odnosu na temeljne podatke ili korištenjem druge, tehnički prikladne metode.

U stručnom izvještaju nalazi činjenica, tehničko tumačenje i zaključci drže se odvojeno. Jednako je važan opseg nalaza: Što je tehnički dokazano? Što je tek potkrijepljeno? Koji postoje protunalazi? Koja alternativna objašnjenja ostaju moguća? Što se ne može utvrditi na temelju dostupnih podataka?

Glavni dio izvješća napisan je na način razumljiv sudcima i ostalim stranama u postupku koji nemaju specijalističko znanje iz IT forenzike. Tehnička provjerljivost je očuvana. Izvori podataka, informacije o integritetu, artefakti i istražni koraci bitni za neovisnu provjeru dokumentirani su na transparentan način u tehničkom dijelu.

So gehen wir vor

  • Feststellung von Art und Zeitpunkt der Wiederherstellung.
  • Trennung der Artefakte nach Entstehung vor bzw. nach dem Restore.
  • Bewertung der beweiserheblichen Spuren unter dieser Einordnung.

Pozitivan rezultat, negativan rezultat i nije pronađen nikakav dokaz

Sudski vještački nalaz mora ostati otvoren. Ako podaci podupiru hipotezu, nalaz objašnjava kako. Ako pouzdani dokazi proturječe hipotezi, i to se iznosi. Ako je skup podataka nedovoljan, nedostatak dokaza se izričito navodi. Iz praznine u podacima ne izvodi se naizgled siguran zaključak.

Razumljivo sudu – provjerljivo od strane suprotnog stručnjaka

Tehničko jezgro objašnjeno je jasnim, pristupačnim jezikom. Tehnički se izrazi koriste samo gdje je to nužno i potom se definiraju. Istovremeno su ključni tehnički principi dokumentirani na način da neovisni IT forenzički analitičar može pratiti tok razmišljanja koristeći isti skup podataka i, gdje je potrebno, reproducirati rezultate.

Metodološka klasifikacija

Ne postoji zakonski propisani popis programa za analizu u forenzičkim IT istragama. S tehničke strane, ključni zahtjevi su kontrolirani skup podataka, integritet podataka, dokumentirani koraci istrage, provjerljivi zaključci i mogućnost neovisne verifikacije.

BSI osnovni modul zaštite DER.2.2, „Pripreme za IT forenziku“, sadrži korisne smjernice za pripremu budućih IT forenzičkih istraga i osiguravanje dokaza u slučaju sigurnosnih incidenata u IT okruženju. Međutim, izričito nije skup pravila za IT forenzičke istrage u kaznenim predmetima, niti je stvarna forenzička analiza predmet ovog modula. Stoga se ne predstavlja kao forenzički standard za kazneni postupak.

LanCologne kao neovisni IT stručnjak

Kada sud treba razjasniti određeno pitanje vezano uz digitalne dokaze iz tehničke perspektive, mi neovisno i bez predrasuda ispitujemo dostupne podatke. Cilj nije proizvesti što više tehničkih nalaza, nego pružiti tehnički utemeljen odgovor: onaj koji je razumljiv sudu, transparentan u svom obrazloženju i tehnički provjerljiv.

Pravni okvir

Članci 402. i sl. Zakona o parničnom postupku (ZPO) osobito su relevantni za vještački dokaz u građanskom postupku. Prema članku 404a ZPO-a, sud usmjerava rad vještaka i može odrediti prirodu i opseg njegovog rada. Kada su činjenični navodi sporni, sud određuje koje će činjenice činiti osnovu stručnog mišljenja. Članak 407a ZPO-a nalaže stručnjaku, između ostalog, da bez odgode utvrdi spada li mu zadatak u područje njegove stručnosti; sve sumnje u pogledu sadržaja i opsega zadatka mora razjasniti sud. Pisani vještački nalaz i sva objašnjenja ili dopune uređuje članak 411. ZPP-a. Konačnu procjenu vještačkog nalaza, zajedno s cjelokupnim ishodom prikupljanja dokaza, i dalje je u nadležnosti suda (članak 286. ZPP-a).

U slučaju vještačkih izvještaja u kaznenom postupku primjenjuju se članci 72. i sl. Zakona o kaznenom postupku (StPO) na vještake; članak 78. StPO odnosi se na nadzor rada vještaka od strane suca. Koje su odredbe relevantne u određenom slučaju ovisi o vrsti postupka i nalogu za vještačenje. IT forenzička procjena ne zamjenjuje pravnu procjenu.

Često postavljana pitanja

Koje bi tragove moglo ostaviti vraćanje iz sigurnosne kopije?+
Operacija vraćanja može kombinirati starije datoteke, poruke i postavke s novim vremenskim oznakama datotečnog sustava ili novim referencama uređaja. Provjeravamo podrijetlo sigurnosne kopije, vrijeme vraćanja, klase podataka koje su vraćene te sve neslaganja između vremenskih oznaka sadržaja i vremenskih oznaka datotečnog sustava.
Pruža li rezultat istrage sudu jasne dokaze?+
Vremenski žig stvoren nakon obnove ne smije se miješati s izvornim vremenom stvaranja sadržaja.
Kann ein Restore eine Nutzung vortäuschen?+
Er kann Dateien und Programme so erscheinen lassen, als seien sie neu. Das wird über die Zeitmuster geprüft.
Gelten die Zeitstempel nach einem Restore noch?+
Teilweise. Welche übernommen wurden, hängt von Backup-Art und Werkzeug ab.
Ist das für Gerichte relevant?+
Ja, weil zeitliche Schlussfolgerungen sonst auf Artefakten des Restores statt auf Nutzerhandlungen beruhen können.

Weiterführende Themen

LanCologne – IT forenzika za sudove

Imate li digitalni upit? LanCologne vam može pomoći s objektivnom, nepristranom IT forenzičkom istragom.

Kontaktirajte nas odmah