IT forenzika · Sudovi

Kako se procjenjuju digitalni tragovi kada više uređaja koristi isti račun?

Moderne Apple, Google, Microsoft i druge račune često se koristi na više uređaja istovremeno. Kao rezultat toga, sinkronizirani podaci mogu se pojaviti na jednom uređaju iako su stvoreni na drugom.

Upitajte bez obaveze

Za sud je broj korištenih programa za analizu nebitan. Ono što je važno jest koja se specifična tehnička činjenica može pouzdano utvrditi na temelju dostupnih podataka, kako je do tog nalaza došlo i koja su njegova ograničenja.

Konkretno pitanje dokaza

Provjeravamo identifikatore specifične za uređaj, lokalne artefakte, tragove sinkronizacije, informacije o sesiji i, gdje je primjenjivo, podatke na strani poslužitelja kako bismo razlikovali reference uređaja i računa.

Zašto jedan digitalni trag rijetko kad bude dovoljan

Digitalni artefakti se generiraju u sustavima s vlastitim mehanizmima za pohranu, sinkronizaciju i vođenje dnevnika. Jedan vremenski žig, zapis u dnevniku ili vrijednost u bazi podataka stoga se bez konteksta ne smatra konačnim dokazom. Kada to pitanje dokaza zahtijeva, koreliraju se više neovisnih tragova i ispituju tehnički vjerojatne protuhipoteze.

Gdje leže granice onoga što se može reći

Sadržaj sinkroniziranog računa ne otkriva automatski na kojem je uređaju stvoren niti tko ga je pokrenuo.

Kako LanCologne rješava pitanje koje zahtijeva dokaz

U LanCologne pristupu istraga započinje pravnim pitanjem dokaza, a ne određenim analitičkim programom. Prvi korak je razjasniti koju tehničku činjenicu treba utvrditi, koji su izvori podataka relevantni za to i koje alternativne hipoteze treba uzeti u obzir.

Dokazi i izvornici podataka jasno su dokumentirani. Gdje je tehnički izvedivo, analiza se provodi na provjerenim forenzičkim sigurnosnim kopijama ili odgovarajućim radnim primjercima. Pogođeni podaci koji su relevantni za odluku ne prihvaćaju se isključivo zato što ih softver označi. Istražujemo podrijetlo, logiku nastanka i kontekst artefakta te, gdje je potrebno, provjeravamo ključne nalaze u odnosu na temeljne podatke ili koristeći drugu, tehnički prikladnu metodu.

Izvješće razlikuje utvrđivanja činjenica, tehničku interpretaciju i zaključke. Granice utvrđenja opisane su jednako jasno: Što se može dokazati? Što je tek potkrijepljeno? Koji postoje protudokazi? Što ostaje neriješeno? Nedostatak dokaza ne tumači se kao naizgled sigurna izjava.

Glavni dio je napisan na takav način da sudac bez specijalističkog znanja iz IT forenzike može razumjeti razmišljanje koje stoji iza nalaza. Tehnička provjerljivost je očuvana. Izvori podataka relevantni za istragu, informacije o integritetu, artefakti i koraci istrage dokumentirani su na način da neovisni IT forenzički stručnjak može provjeriti ključne nalaze u svrhu potencijalnog protuizvještaja.

Od sudske odluke do pouzdane izjave

Pozitivni rezultati, negativni rezultati i nije pronađen nikakav dokaz

Stručni nalaz mora biti otvoren. Ako podaci potvrde hipotezu koja se istražuje, daje se objašnjenje što je njezina osnova. Ako pouzdani dokazi proturječe toj hipotezi, i to se iznosi. Ako skup podataka nije dovoljan za donošenje konačnog zaključka, to se opisuje kao nedostatak dokaza ili kao otvoreno tehničko pitanje. Upravo ta razlika sprječava da praznina u podacima dovede do naizgled konačne izjave.

Razumljivo sudu – tehnički provjerljivo od strane protu-stručnjaka

Osnovni tehnički sadržaj objašnjen je jasnim, pristupačnim jezikom. Tehnički izrazi koriste se samo gdje je to nužno i potom se definiraju. Istovremeno su zadržani ključni tehnički temelji: ispitivani izvori podataka, relevantni artefakti, informacije o integritetu, vremenske reference i metodološki koraci. IT forenzički stručnjak koji nije upoznat s postupkom trebao bi moći provjeriti razmišljanje bez da glavni tekst postane skup sirovih tehničkih podataka za sud.

Metodološka klasifikacija

Ne postoji zakonski propisani popis programa za analizu u forenzičkim IT istragama. S tehničkog gledišta ključni su čimbenici kontrolirana baza podataka, integritet podataka, dokumentirani istražni koraci, provjerljivi zaključci i mogućnost neovisne verifikacije.

BSI modul osnovne zaštite DER.2.2, „Pripreme za IT forenziku“, sadrži korisne smjernice o tome kako se pripremiti za naknadne forenzičke istrage i o osiguravanju dokaza u slučaju incidenata u IT sigurnosti. Međutim, to nije standard za forenzička ispitivanja u kaznenim postupcima; stvarna forenzička analiza nije predmet ovog modula. Ova se razlika izričito poštuje.

LanCologne kao neovisni IT stručnjak

Kada sud treba razjasniti određeno pitanje vezano uz digitalne dokaze iz tehničke perspektive, mi neovisno i bez predrasuda ispitujemo dostupne podatke. Cilj nije sastaviti što opsežniji popis tehničkih nalaza, nego pružiti tehnički utemeljen odgovor: razumljiv sudu, transparentan u obrazloženju i tehnički provjerljiv.

Članci 402. i sl. Zakona o parničnom postupku (ZPO) osobito su relevantni za vještačka dokazivanja u građanskim postupcima. Članak 403. ZPO-a odnosi se na određivanje pitanja koja se trebaju procijeniti. Prema članku 404a ZPO-a, sud usmjerava rad vještaka i može odrediti prirodu i opseg njegovih aktivnosti. Članak 407a ZPO-a propisuje dužnosti vještaka, uključujući obvezu procjene vlastitog područja stručnosti i razjašnjavanja svih nedoumica u vezi sadržaja i opsega mandata. Članak 411 ZPO-a uređuje pisano vještačko mišljenje, kao i njegovo pojašnjenje i dopunu. Procjena vještačkog nalaza, zajedno sa svim ostalim dokazima, ostaje u nadležnosti suda (članak 286. ZPP-a).

U slučaju vještačkih izvještaja u kaznenom postupku na vještake se primjenjuju članci 72. i sl. Zakonika o kaznenom postupku (StPO). Koje su odredbe relevantne u pojedinom slučaju ovisi o nalogu za vještačenje i vrsti postupka. IT-forenzički izvještaj ne zamjenjuje ni pravnu procjenu ni sudsku ocjenu dokaza.

Često postavljana pitanja

LanCologne – IT forenzika za sudove

Imate li digitalni upit? LanCologne vam može pomoći s objektivnom, nepristranom IT forenzičkom istragom.

Kontaktirajte nas odmah