IT forenzika · Sudovi
Welche Aussagekraft hat die Nutzung eines VPN für die Zuordnung digitaler Aktivitäten?
Ein VPN verändert die sichtbare Netzwerkroute und kann die öffentliche Quell-IP durch die Adresse eines VPN-Endpunkts ersetzen.
Za sud broj programa koji su korišteni nije odlučujući čimbenik. Odlučujuće je koje se tehničke činjenice mogu pouzdano utvrditi iz dostupnih podataka, kako je do tog nalaza došlo i koja ograničenja vrijede pri njegovoj interpretaciji.
Konkretno pitanje dokaza
Wir prüfen lokale VPN-Konfigurationen, Verbindungsereignisse, Routing- und DNS-Spuren sowie verfügbare Gegenstellen- oder Providerdaten.
Zašto je tehnički kontekst ključan
Digitalni tragovi ne nastaju u izolaciji. Operativni sustav, aplikacija, usluga u oblaku, mreža i kontekst korisnika mogu na različite načine proizvesti iste vidljive dokaze. Iz tog razloga pojedinačni vremenski žig, zapis u dnevniku ili vrijednost u bazi podataka ne smatraju se konačnim dokazom bez ispitivanja logike njihova nastanka. Po potrebi se više neovisnih tragova međusobno korelira.
Gdje leže granice onoga što se može reći
Eine VPN-IP identifiziert nicht automatisch das Endgerät oder die handelnde Person. Umgekehrt beweist eine installierte VPN-Anwendung keine aktive VPN-Verbindung zum fraglichen Zeitpunkt.
Kako LanCologne rješava pitanje koje zahtijeva dokaz
U LanCologne forenzičke IT istrage započinju rješavanjem pitanja dokaza, umjesto odabira određenog programa za analizu. Prvi korak je utvrditi koje tehničke činjenice treba razjasniti, koji su izvori podataka relevantni za to i koja alternativna objašnjenja treba ozbiljno razmotriti.
Izvorni podaci i dokazi su dokumentirani. Gdje je tehnički izvedivo, analiza se provodi na provjerenim forenzičkim sigurnosnim kopijama ili odgovarajućim radnim primjercima. Automatski generirani podudaranja ne prihvaćaju se bez provjere kada su relevantna za odluku. Odlučujući su podrijetlo, logika njihove izrade i kontekst pojedinog artefakta. Ključni nalazi se, gdje je to potrebno, provjeravaju u odnosu na temeljne podatke ili korištenjem druge, tehnički prikladne metode.
U stručnom izvještaju nalazi činjenica, tehničko tumačenje i zaključci drže se odvojeno. Jednako je važan opseg nalaza: Što je tehnički dokazano? Što je tek potkrijepljeno? Koji postoje protunalazi? Koja alternativna objašnjenja ostaju moguća? Što se ne može utvrditi na temelju dostupnih podataka?
Glavni dio izvješća napisan je na način razumljiv sudcima i ostalim stranama u postupku koji nemaju specijalističko znanje iz IT forenzike. Tehnička provjerljivost je očuvana. Izvori podataka, informacije o integritetu, artefakti i istražni koraci bitni za neovisnu provjeru dokumentirani su na transparentan način u tehničkom dijelu.
Od sažetka do čvrstog zaključka
Pozitivan rezultat, negativan rezultat i nije pronađen nikakav dokaz
Sudski vještački nalaz mora ostati otvoren. Ako podaci podupiru hipotezu, nalaz objašnjava kako. Ako pouzdani dokazi proturječe hipotezi, i to se iznosi. Ako je skup podataka nedovoljan, nedostatak dokaza se izričito navodi. Iz praznine u podacima ne izvodi se naizgled siguran zaključak.
Razumljivo sudu – provjerljivo od strane suprotnog stručnjaka
Tehničko jezgro objašnjeno je jasnim, pristupačnim jezikom. Tehnički se izrazi koriste samo gdje je to nužno i potom se definiraju. Istovremeno su ključni tehnički principi dokumentirani na način da neovisni IT forenzički analitičar može pratiti tok razmišljanja koristeći isti skup podataka i, gdje je potrebno, reproducirati rezultate.
Metodološka klasifikacija
Ne postoji zakonski propisani popis programa za analizu u forenzičkim IT istragama. S tehničke strane, ključni zahtjevi su kontrolirani skup podataka, integritet podataka, dokumentirani koraci istrage, provjerljivi zaključci i mogućnost neovisne verifikacije.
BSI osnovni modul zaštite DER.2.2, „Pripreme za IT forenziku“, sadrži korisne smjernice za pripremu budućih IT forenzičkih istraga i osiguravanje dokaza u slučaju sigurnosnih incidenata u IT okruženju. Međutim, izričito nije skup pravila za IT forenzičke istrage u kaznenim predmetima, niti je stvarna forenzička analiza predmet ovog modula. Stoga se ne predstavlja kao forenzički standard za kazneni postupak.
LanCologne kao neovisni IT stručnjak
Kada sud treba razjasniti određeno pitanje vezano uz digitalne dokaze iz tehničke perspektive, mi neovisno i bez predrasuda ispitujemo dostupne podatke. Cilj nije proizvesti što više tehničkih nalaza, nego pružiti tehnički utemeljen odgovor: onaj koji je razumljiv sudu, transparentan u svom obrazloženju i tehnički provjerljiv.
Pravni okvir
Članci 402. i sl. Zakona o parničnom postupku (ZPO) osobito su relevantni za vještački dokaz u građanskom postupku. Prema članku 404a ZPO-a, sud usmjerava rad vještaka i može odrediti prirodu i opseg njegovog rada. Kada su činjenični navodi sporni, sud određuje koje će činjenice činiti osnovu stručnog mišljenja. Članak 407a ZPO-a nalaže stručnjaku, između ostalog, da bez odgode utvrdi spada li mu zadatak u područje njegove stručnosti; sve sumnje u pogledu sadržaja i opsega zadatka mora razjasniti sud. Pisani vještački nalaz i sva objašnjenja ili dopune uređuje članak 411. ZPP-a. Konačnu procjenu vještačkog nalaza, zajedno s cjelokupnim ishodom prikupljanja dokaza, i dalje je u nadležnosti suda (članak 286. ZPP-a).
U slučaju vještačkih izvještaja u kaznenom postupku primjenjuju se članci 72. i sl. Zakona o kaznenom postupku (StPO) na vještake; članak 78. StPO odnosi se na nadzor rada vještaka od strane suca. Koje su odredbe relevantne u određenom slučaju ovisi o vrsti postupka i nalogu za vještačenje. IT forenzička procjena ne zamjenjuje pravnu procjenu.
Često postavljana pitanja
LanCologne – IT forenzika za sudove
Imate li digitalni upit? LanCologne vam može pomoći s objektivnom, nepristranom IT forenzičkom istragom.