Kryminalistyka informatyczna · Sądy

Jakie ślady może pozostawić przywracanie danych z kopii zapasowej?

Wird ein System oder Gerät aus einem Backup wiederhergestellt, entstehen neue Spuren, die leicht falsch gelesen werden: Dateien erhalten neue Erstellungszeiten, Programme erscheinen „installiert“, Nutzungsartefakte fehlen oder stammen aus der Zeit vor dem Backup. Für die gerichtliche Bewertung muss geklärt werden, welche Spuren vor und welche nach der Wiederherstellung entstanden sind.

Wysyłaj zapytanie bez zobowiązań

Dla sądu nie ma znaczenia, ile programów jest wykorzystywanych. Decydujące znaczenie ma to, jakie fakty techniczne można wiarygodnie ustalić na podstawie dostępnej bazy danych, w jaki sposób dochodzi się do tych ustaleń oraz jakie są granice ich interpretacji.

Technischer Hintergrund

Unterschiedliche Backup-Arten wirken unterschiedlich: Image-Restores übernehmen weitgehend alle Metadaten, dateibasierte Restores setzen häufig neue Erstellungszeiten, Geräte-Backups (z. B. iCloud) stellen App-Daten, aber nicht alle Systemprotokolle wieder her.

Relevante Spuren und Datenquellen

• Restore-Protokolle der Backup-Software
• Dateisystemzeiten ($STANDARD_INFORMATION vs. $FILE_NAME unter NTFS)
• USN-Journal und Ereignisprotokolle rund um den Restore-Zeitpunkt
• Geräteprotokolle zum Wiederherstellungsvorgang (iOS/Android)

Konkretna kwestia dowodowa

Sprawdzamy pochodzenie kopii zapasowej, moment przywrócenia, klasy przywróconych danych oraz rozbieżności między czasami zawartości a czasami systemu plików.

Dlaczego kontekst techniczny ma kluczowe znaczenie

Ślady cyfrowe nie powstają w izolacji. System operacyjny, aplikacja, usługa w chmurze, sieć i kontekst użytkownika mogą w różny sposób generować ten sam widoczny wynik. Dlatego pojedynczy znacznik czasu, wpis w dzienniku lub wartość w bazie danych nie są traktowane jako ostateczny wniosek bez sprawdzenia logiki ich powstania. W razie potrzeby koreluje się ze sobą kilka niezależnych od siebie śladów.

Grenzen

• Wenn Restore-Protokolle fehlen, ist der Zeitpunkt oft nur eingrenzbar.
• Daten, die nicht im Backup enthalten waren, fehlen dauerhaft.

Mögliche Ergebnisse

• Zeitpunkt und Art des Restores belegt
• Zuordnung strittiger Spuren zu Zeiträumen vor/nach dem Restore

Jak LanCologne podchodzi do zadania dowodowego

W przypadku LanCologne sądowa informatyka śledcza rozpoczyna się od ustalenia przedmiotu dowodu, a nie od wyboru konkretnego programu analitycznego. Najpierw określa się, który fakt techniczny należy wyjaśnić, które źródła danych mają w tym zakresie znaczenie oraz które alternatywne wyjaśnienia należy poważnie rozważyć.

Dane wyjściowe i materiały dowodowe są dokumentowane. O ile jest to technicznie możliwe, analiza przeprowadzana jest na zweryfikowanych kopiach zapasowych z zakresu kryminalistyki lub odpowiednich kopiach roboczych. Automatycznie wygenerowane dopasowania nie są przyjmowane bez weryfikacji w przypadku kwestii mających znaczenie dla podjęcia decyzji. Decydujące znaczenie mają pochodzenie, logika powstania oraz kontekst danego artefaktu. W razie potrzeby kluczowe ustalenia są weryfikowane na podstawie danych źródłowych lub przy użyciu drugiej, odpowiedniej pod względem merytorycznym metody.

W ekspertyzie należy oddzielić ustalenia faktyczne, interpretację merytoryczną i wnioski. Równie ważne są granice stwierdzeń: co jest potwierdzone technicznie? Co jest jedynie poparte dowodami? Jakie istnieją wyniki sprzeczne? Jakie alternatywne wyjaśnienia pozostają możliwe? Czego nie da się ustalić na podstawie dostępnych danych?

Główna część została sformułowana w sposób zrozumiały dla sędziów i innych uczestników postępowania, którzy nie posiadają specjalistycznej wiedzy z zakresu informatyki śledczej. Zachowana została możliwość weryfikacji technicznej. Źródła danych, informacje dotyczące integralności, artefakty oraz etapy badania, które są niezbędne do przeprowadzenia niezależnej weryfikacji, zostały w sposób przejrzysty udokumentowane w części technicznej.

So gehen wir vor

• Feststellung von Art und Zeitpunkt der Wiederherstellung.
• Trennung der Artefakte nach Entstehung vor bzw. nach dem Restore.
• Bewertung der beweiserheblichen Spuren unter dieser Einordnung.

Wynik, wynik przeciwny i brak wykrycia

Ekspertyza sądowa musi pozostawać otwarta co do wyniku. Jeśli dane potwierdzają hipotezę, wyjaśnia się, w jaki sposób. Jeśli wiarygodne ślady zaprzeczają hipotezie, należy je również przedstawić. Jeśli baza danych jest niewystarczająca, należy wyraźnie zaznaczyć brak dowodów. Nie można konstruować pozornie pewnych wniosków na podstawie luk w danych.

Zrozumiałe dla sądu – możliwe do zweryfikowania przez biegłego kontrwyborczego

Istota zagadnienia jest wyjaśniona przystępnym językiem. Terminy techniczne są używane tylko tam, gdzie jest to konieczne, a następnie wyjaśniane. Jednocześnie kluczowe podstawy techniczne są udokumentowane w taki sposób, aby niezależny ekspert ds. informatyki śledczej mógł prześledzić proces wnioskowania na podstawie tej samej bazy danych i w razie potrzeby go odtworzyć.

Klasyfikacja metodologiczna

W zakresie kryminalistyki informatycznej nie istnieje ustawowy wykaz obowiązkowych programów analitycznych. Z merytorycznego punktu widzenia istotne znaczenie mają: kontrolowana baza danych, integralność, udokumentowane etapy badania, zrozumiałe wnioski oraz możliwość niezależnej weryfikacji.

Moduł DER.2.2 „Środki zapobiegawcze w zakresie informatyki śledczej“ w ramach systemu podstawowej ochrony BSI zawiera przydatne wytyczne dotyczące przygotowania do przyszłych badań informatyki śledczej oraz zabezpieczania dowodów w przypadku incydentów związanych z bezpieczeństwem informatycznym. Nie stanowi on jednak w żadnym wypadku zbioru przepisów dotyczących badań kryminalistycznych w sprawach karnych; przedmiotem tego modułu nie jest również sama analiza kryminalistyczna. Nie jest on zatem przedstawiany jako standard kryminalistyczny w postępowaniu karnym.

LanCologne jako niezależny ekspert ds. IT

Gdy sąd musi zlecić wyjaśnienie konkretnej kwestii dowodowej o charakterze cyfrowym z technicznego punktu widzenia, analizujemy dostępną bazę danych w sposób niezależny i bez z góry przyjętych założeń. Celem nie jest uzyskanie jak największej liczby wyników technicznych, lecz sformułowanie uzasadnionej merytorycznie odpowiedzi: zrozumiałej dla sądu, przejrzystej pod względem toku rozumowania i możliwej do zweryfikowania pod względem technicznym.

W odniesieniu do dowodu z opinii biegłego w postępowaniu cywilnym zastosowanie mają w szczególności §§ 402 i nast. ZPO. Zgodnie z § 404a ZPO sąd kieruje pracą biegłego i może określić rodzaj oraz zakres jego działalności. W przypadku spornych okoliczności faktycznych sąd określa, które fakty mają stanowić podstawę ekspertyzy. § 407a ZPO zobowiązuje biegłego między innymi do niezwłocznego zbadania, czy zlecenie mieści się w zakresie jego specjalizacji; wątpliwości dotyczące treści i zakresu zlecenia powinny zostać wyjaśnione przez sąd. Pisemna ekspertyza oraz ewentualne wyjaśnienia lub uzupełnienia są uregulowane w § 411 ZPO. Ostateczna ocena ekspertyzy wraz z całością wyników postępowania dowodowego pozostaje w gestii sądu (§ 286 ZPO).

W przypadku ekspertyz w postępowaniu karnym do biegłych mają zastosowanie §§ 72 i nast. kodeksu postępowania karnego (StPO); § 78 StPO dotyczy kierowania przez sędziego działalnością biegłego. To, które przepisy mają zastosowanie w konkretnym postępowaniu, zależy od rodzaju postępowania i zlecenia. Ekspertyza informatyczno-kryminalistyczna nie zastępuje oceny prawnej.

Najczęściej zadawane pytania

Weiterführende Themen

• W jaki sposób sprawdza się, czy znaleziony plik pochodzi z kopii zapasowej, a nie z bieżącej eksploatacji?
• Informatyka śledcza dla sądów
• Czy można rozróżnić, czy plik został skopiowany, przeniesiony czy zsynchronizowany?

LanCologne – informatyka śledcza dla sądów

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz