Ta pregled združuje vsa vprašanja in odgovore v zvezi z IT-forenziko za organe pregona na spletni strani LanCologne – od zavarovanja digitalnih dokazov prek ocenjevanja dokazov in ugotavljanja storilcev do IT-sistemov podjetij, izvedenskih mnenj in uporabe dokazov na sodišču. Kliknite na kategorijo, da si ogledate ustrezna vprašanja.
Ocena dokazov, verjetnost in preiskovalne hipoteze
- Kako se enako preiskujejo obremenilne in razbremenilne digitalne sledi?
- Kako se digitalno preiskovalno vprašanje razčleni na podvprašanja, ki jih je mogoče tehnično preveriti?
- Kako se preiskovalna domneva pretvori v tehnično preverljive hipoteze in protihipoteze?
- Kako se ocenjuje dokazna moč posameznega digitalnega artefakta?
- Kako se več šibkih indicev združi v zanesljivo tehnično celovito ugotovitev?
- Kako se tehtajo obremenilni izvidi v primerjavi z razbremenilnimi tehničnimi izvidi?
- Kdaj je negativni tehnični izvid zanesljiv?
- Kdaj je tehnična izključitev resnejša od zgolj neizkazovanja?
- Kako se tehnično verjetna alternativa zanesljivo dokumentira?
- Kako se preveri, ali je izjava obtoženca tehnično verjetna?
- Kako se preveri, ali je pričevanje v zvezi z digitalnim postopkom tehnično izvedljivo?
- Kako se med seboj poveže več zaseženih naprav obtoženca?
- Kako se nasprotujoče si izjave primerjajo z digitalnimi sledmi?
- Ali lahko zlonamerna programska oprema predstavlja obremenilno ali razbremenilno alternativno razlago?
- Kako se ohranja meja med tehnično analizo in odločitvijo o preiskavi?
- Kako se dokumentira, če dve priznani metodi prineseta različne rezultate?
- Kako se preiskujejo znaki uporabe protiforenzičnih metod ali brisanja sledi?
- Kako se tehnično preveri verodostojnost domnevne digitalne verige dogodkov?
- Kako se v predhodnem postopku obravnavajo nasprotujoči si digitalni dokazi?
- Kdaj je odsotnost digitalnega artefakta pomembna za preiskavo?
- Kdaj je za preiskovalne organe smiselna neodvisna ponovna IT-forenzična preiskava?
- Kako se neodvisno preverja veljavnost že obstoječih forenzičnih analiz?
- Kako se ločijo digitalne sledi več obtožencev med seboj?
- Kako se digitalne sledi znotraj skupine storilcev tehnično razlikujejo?
- Kako se preverjajo trditve o ponarejanju digitalnih časovnih žigov?
- Kako se razlikuje domnevno odstranjevanje sledi od rednega čiščenja sistema?
- Kako se zanesljivo dokumentira tehnična alternativa, ki razbremeni obtožbo?
- Kdaj je mogoče tehnično izključiti neko preiskovalno domnevo?
Določanje storilcev, računi in oddaljeni dostop
- Ali je mogoče digitalno dejavnost povezati z uporabniškim računom ali fizično osebo?
- Kako se ocenjujejo več možnih izvornih naprav digitalne vsebine?
- Kako se obravnavajo skupni računi pri določanju storilcev?
- Kako se preveri uporaba ukradenih ali posredovanih podatkov za dostop kot nasprotna hipoteza?
- Kako se dogodki MFA upoštevajo pri dodeljevanju uporabnikov?
- Kako se upoštevajo žetoni sej pri rekonstrukciji uporabe računa?
- Kako se podatki ponudnikov storitev v oblaku usklajujejo s podatki lokalnih končnih naprav?
- Kako se podatki o nasprotni postaji uporabljajo v komunikacijskih postopkih?
- Kako se preverja domnevni oddaljeni dostop kot alternativna hipoteza o storilcu?
- Kako se dnevniki na strežniku usklajujejo z lokalnimi podatki aplikacije?
- Kako se rekonstruira nepopolna veriga dogodkov?
- Kako se preveri, ali sta dva digitalna dogodka vzročno povezana?
- Kako se analizira več naprav, povezanih z istim računom v oblaku?
- Kako se razlikuje med avtomatiziranim delovanjem sistema in zavestnim ravnanjem uporabnika?
Metodologija tehnične analize, časovni žigi in kakovost podatkov
- Kako se dokumentirajo meje izpisovanja forenzičnega niza podatkov?
- Kako se preveri, ali je forenzični parser pravilno razlagal podatkovno strukturo?
- Kdaj je potrebna preveritev surovih podatkov?
- Kako se preučujejo neznani ali redki digitalni artefakti?
- Kako se forenzično ocenjujejo nove različice aplikacij in spremenjene strukture baz podatkov?
- Kako se upoštevajo App-Update kot vzrok za navidezno protislovne podatke?
- Kako se obravnavajo različne različice iste aplikacije na več napravah?
- Kako se ocenjujejo časovni žigi z neznano ali slabo dokumentirano semantiko?
- Kako se zaznavajo napake v časovnih pasovih med napravami, Servern in oblačnimi sistemi?
- Kako se upoštevajo zamiki pri sinhronizaciji v časovni osi preiskave?
- Kako se hash vrednosti datotek uporabljajo v obsežnejših preiskavah?
- Kako je mogoče v preiskavah smiselno zmanjšati podvajanje podatkov?
Zagotavljanje, varovanje in pravne podlage
- Kako se tehnično prevzamejo in dokumentirajo zaseženi digitalni dokazi?
- Kako se v skladu s § 110 Zakona o kazenskem postopku (StPO) tehnično analizirajo elektronski nosilci podatkov?
- Kako se dokumentira celovitost forenzične varnostne kopije za preiskovalni postopek?
- Kdaj je smiselno izvesti varnostno kopijo v realnem času za sistem, ki je v delovanju?
- Kako se v predhodnem postopku forenzično ocenjujejo šifrirani računalniki?
- Kako se v predhodnem postopku tehnično razvrstijo blokirani pametni telefoni?
- Kako se združi zapletena zbirka digitalnih dokazov za tožilstvo in poznejše glavno sojenje?
- Kako se količinsko opredeli vpliv nepopolnih podatkov na oceno preiskave?
- Kako se oblikuje tehnična ugotovitev z različnimi stopnjami gotovosti?
- Katera sporočila so še vedno možna po ponastavitvi na tovarniške nastavitve?
- Kako se v predhodnem postopku ocenjuje formatiranje ali ponovna namestitev?
- Kako se varnostne kopije in posnetki stanja uporabljajo kot viri za preiskave?
- Kako se strokovno ocenjujejo poškodovani ali nepopolni dokazi?
Spremembe sistema, migracija in naknadne spremembe
- Kako se ocenjujejo sledi po operacijskem sistemu Upgrade?
- Kako se ocenjujejo sledi po zamenjavi naprave ali migraciji?
- Kako se podatki ocenjujejo po obnovitvi iz varnostne kopije?
- Kako se dokumentirajo naknadne spremembe sistema z ukrepi za preiskavo ali zaščito?
- Kako se obravnavajo nova tehnična spoznanja, ki presegajo okvir prvotnega preiskovalnega vprašanja?
- Kako se strokovno dokumentira naključni tehnični izvid?
Strokovna mnenja, sodni postopki in tožilstvo
- Zakaj lahko organ za kazensko preiskavo pritegne zunanjega IT-forenzika?
- Kako se preveri tehnična zanesljivost obstoječega forenzičnega poročila?
- Kako se forenzični izvid iz področja informatike na razumljiv način povzame za namene odločitve državnega tožilstva?
- Kako se pripravijo kompleksni forenzični IT-izsledki za glavno obravnavo?
- Kako se dokumentirajo tehnični izsledki za morebitna poizvedovanja sodišča in obrambe?
- Kako se izvede ponovljiva ponovna analiza na podlagi istih podatkov?
- Kako se pripravi končna celovita IT-forenzična ocena za organi pregona?
- Kako se forenzična preiskava na področju informacijske tehnologije za obrambo in poznejše sodno obravnavo dokumentira na način, ki omogoča ponovljivost?
- Kako se pripravi izvedensko mnenje v predhodnem postopku tožilstva?
- Kako se ugotovitve računalniške forenzike pripravijo tako, da jih je mogoče kasneje pojasniti v sodnem postopku?
Podjetniška informatika, oblačni in omrežni sistemi
- Ali je mogoče uporabo skupnega službenega računa pripisati posameznim osebam?
- Kako se v predhodnem postopku obravnavajo prijave v Active Directoryju?
- Kako se forenzično razvrstijo prijave z Entra-ID ali oblačno identiteto?
- Kako se med seboj povezujejo lokalni dnevniki računalnikov in centralni dnevniki imeniških storitev?
- Ali je mogoče ugotoviti, kateri uporabnik je dostopal do datotečnega strežnika?
- Ali je mogoče v predhodnem postopku rekonstruirati uporabo naprave NAS?
- Kako se v predhodnem postopku ocenjujejo datoteke in različice v SharePointu?
- Kako se v preiskavah analizirajo sledi sinhronizacije v storitvi OneDrive?
- Kako se podatki iz revizije Microsoft 365 upoštevajo v predhodnem postopku?
- Kako se preiskujejo poštni predali v sistemu Exchange in sledovi e-pošte na strežniku?
- Kako se forenzično ocenjujejo komunikacija v Teamsu in zapisi sestankov?
- Ali je mogoče ugotoviti, ali so bili podatki podjetja posredovani zunanjim strankam?
- Kako se v poslovnih sistemih rekonstruirajo spremembe pooblastil?
- Ali je mogoče ugotoviti, kdo je uporabniku dodelil razširjene pravice?
- Kako se posameznim uporabnikom dodeljujejo sej terminalnega strežnika in oddaljenega namizja?
- Kako se forenzično preiskujejo VDI-okolja?
- Kako se podatki MDM upoštevajo pri preiskavah v zvezi s pametnimi telefoni?
- Ali je mogoče tehnično obnoviti podatke, ki so bili izbrisani na daljavo?
- Kako se sistemi za varnostno kopiranje v podjetniških omrežjih uporabljajo kot vir za preiskave?
- Kako se forenzično analizirajo centralni sistemi za beleženje in podatki iz sistema SIEM?
- Kako se dnevniki požarnega zidu uporabljajo kot dokazno gradivo v preiskavah?
- Kako se v podjetniškem omrežju analizirajo dnevniki proxyja in spletnega prehoda?
- Kako se podatki DHCP in podatki za dostop do omrežja uporabljajo za dodeljevanje naprav?
- Kako se podatki iz krmilnika WLAN upoštevajo v predhodnem postopku?
- Ali je mogoče dokazati uporabo določenega delovnega računalnika v podjetniškem omrežju?
- Kako se datotečni strežnik, e-pošta in končna naprava povežejo v skupno verigo dogodkov?
- Ali je mogoče ugotoviti, ali so podatki podjetja ušli prek zasebnih oblakovnih shranjevalnic?
- Ali je mogoče tehnično dokazati, da je bil datotek naložen na spletno storitev?
- Kako se preverja izvor prenesenega poslovnega dokumenta?
Sledi naprav, komunikacij in lokacij
- Kako se v preiskovalnem postopku obravnavajo izbrisane datoteke?
- Kako se za preiskovalce rekonstruira digitalni potek dogodkov?
- Kako se v predhodnem postopku ocenjujejo digitalni podatki o lokaciji?
- Kako se v preiskavah obravnavajo sledi sinhronizacije v oblaku?
- Kako se podatki iz sporočil v preiskovalnem postopku zanesljivo analizirajo?
- Kako se v preiskovalnem postopku preverja izvor e-poštnega sporočila?
- Kako se za namene preiskave ocenjujejo sledi v brskalniku in iskalnikih?
- Kako se v preiskovalnih postopkih ocenjujejo baze podatkov SQLite, WAL in dnevniki?
- Kako se v predhodnem postopku preverjajo metapodatki fotografij in videoposnetkov?
- Kako se preveri pristnost posnetka zaslona?
- Kakšen pomen imajo arhivi in šifrirani kontejnerji za preiskave?
- Kako se virtualni stroji ocenjujejo kot samostojno preiskovalno okolje?
Druga vprašanja
- Kako se obstoječe IT-mnenje neodvisno preveri s strani drugega organa?
- Kako se avtomatizirani nadaljnji dogodki ločijo od ročnih dejanj?
- Kako se preverjajo procesi v ozadju kot alternativna razlaga za dostop do datotek?
- Kako se upoštevata vzdrževanje sistema in rotacija dnevnikov kot vzrok za pomanjkanje sledi?
- Ali je mogoče tehnično ugotoviti, ali prihaja do uhajanja podatkov prek USB-naprav?
- Ali je mogoče slediti odlivu podatkov prek omrežnih deljenih map?
- Kako se upošteva uporaba VPN-ja pri razvrščanju spletnih dejavnosti?
- Kako se povezave prek proxyja, releja ali Torja tehnično razvrščajo?
- Kakšen pomen ima IP-naslov v predhodnem postopku?
- Kakšno dokazno vrednost imajo sledovi DNK v preiskovalnem postopku?
- Kako se sistemski in varnostni dnevniki obravnavajo kot dokazno gradivo v preiskavi?
- Ali je mogoče rekonstruirati uporabo administrativnih pravic v preiskovalnem postopku?
- Ali je mogoče preveriti možnost, da je bil račun zlorabljen, kot alternativno hipotezo o storilcu?
- Kako se pri ugotavljanju storilca upoštevajo skupno uporabljani računalniki?
- Kako se velike količine podatkov ciljno analizirajo v skladu z vprašanjem preiskave?
- Kako se forenzično preverjajo iskalni izrazi in seznami zadetkov?
- Kako se ocenjujejo izbrisani podatki iz nedodeljenih območij?
- Kako se v predhodnem postopku obravnavajo rezultati karvinga?
- Ali je mogoče datoteko pripisati določenemu nosilcu podatkov kot prvotnemu viru?
- Kako se dokumentira izvor digitalnega dokaznega gradiva?
- Kako se ravna s tehnično spremenjenim dokaznim sredstvom?
- Kako se tehnično ocenjujejo manjkajoče ali nepopolne verige dokazov?
- Kako se rešujejo nasprotujoče si prve in druge ocene?
- Kako se prepoznajo napake v razčlenjevalniku in napačne interpretacije v obstoječih poročilih?
- Kako se uskladijo različni viri časa iz oblaka, Server in končne naprave?
- Kako se ure v napravah usklajujejo z zunanjimi referenčnimi časi?