Naši seminarji od 18. do 29. novembra v Frankfurtu na temo forenzike IT, ki so se osredotočili na orodja, kot sta Detego Global in MOBILedit, ter zlasti na analizo in ročno preverjanje podatkovnih baz SQLite, so ponudili
Celovit uvod v digitalno hrambo in analizo dokazov. Osrednjega pomena so tehnični in pravni vidiki. Podroben pregled obravnavanih tem je na voljo v nadaljevanju.
Detego Global
Platforma Detego® Unified Forensics Platform je zmogljiva digitalna forenzična rešitev, zasnovana posebej za hitro zbiranje, analizo in poročanje. Omogoča:
- Forenzično varovanje podatkov iz več tisoč naprav, kot so pametni telefoni, računalniki in naprave IoT.
- Analize, podprte z umetno inteligenco, za prepoznavanje povezav med ljudmi, napravami in primeri.
- Uporaba funkcij, kot so analiza podatkov GPS, ujemanje vrednosti hash in avtomatizirani delovni postopki za učinkovite preiskave.
MOBILedit je vsestransko orodje za pridobivanje in analizo podatkov iz mobilnih naprav in pametnih ur. Omogoča:
- Pridobivanje fizičnih in logičnih podatkov.
- Obnovitev izbrisanih podatkov.
- Podpora za številne aplikacije, kot so WhatsApp, Instagram in Snapchat ter številne druge.
- Napredne funkcije, kot sta razbijanje in dešifriranje gesel.
Obe orodji sta zasnovani tako, da zagotavljata dokaze za uporabo na sodišču in preprečujeta spremembe prvotnih podatkov.
Analiza podatkovnih zbirk SQLite
Podatkovne zbirke SQLite se pogosto uporabljajo v aplikacijah, kot so mobilni telefoni, storitve sporočil in operacijski sistemi. Njihova forenzična analiza vključuje:
- Obnovitev izbrisanih podatkovnih zapisov, ki pogosto vključujejo začasne datoteke, kot so dnevniki zapisovanja (WAL).
- uporaba specializirane programske opreme, kot sta MobilEdit ali Rabbithole, za analizo vsebine podatkovne zbirke.
- Možnost rekonstrukcije dejavnosti in časovnih zaporedij, zaradi česar so pomemben vir dokazov.
Pogosto je treba ukoreniniti mobilni telefon, da se omogoči globlji dostop za forenzične preiskave. To vključuje odklepanje skrbniških pravic za dostop do zaščitenih področij operacijskega sistema. Metode vključujejo:
- Uporaba aplikacij za obnovitev po meri in korenskih kompletov.
- Vendar je treba zagotoviti, da se podatki ne spremenijo. To zagotovimo s primerjavo vrednosti hash pred in po pregledu.
Zagotavljanje celovitosti dokazov
Ključni vidik forenzike IT je zagotoviti, da analiziranih podatkov ni mogoče spremeniti:
- Izdelava forenzičnih kopij (kopije 1:1) nosilcev podatkov.
- Dokumentiranje vseh korakov v strokovnem poročilu, ki je dokazljivo za sodišče.
- Uporaba vrednosti hash za preverjanje celovitosti podatkov.
Na seminarju smo se naučili pomembnih osnov za forenzične analize IT: uporabe specializiranih orodij, kot sta Detego in MOBILedit, analize podatkovnih baz SQLite in tehnik za ukoreninjenje mobilnih naprav. Poudarek na celovitosti dokazov zagotavlja, da bodo rezultati ostali uporabni na sodišču. Takšno usposabljanje je nujno za strokovnjake s področja digitalne forenzike, da lahko izpolnijo zahteve sodobnih preiskav.
