Ta pregled združuje vsa vprašanja in odgovore v zvezi z IT-forenziko za sodišča na spletni strani LanCologne – od povezovanja uporabnikov in računov prek datotek, metapodatkov in sledi komunikacije do nasprotij v digitalnih dokazih ter vloge IT-izvedenca v sodnem postopku. Kliknite na kategorijo, da si ogledate ustrezna vprašanja.
Povezovanje uporabnikov in računov
- Ali je mogoče ugotoviti, kdo je uporabljal računalnik ali pametni telefon?
- Ali je mogoče konkretni vnos uporabnika tehnično dokazati?
- Ali je mogoče dejansko pošiljanje sporočila razlikovati od njegove zgolj prisotnosti na računu?
- Ali je mogoče razlikovati med lokalnim uporabniškim računom, računom v domeni in računom v oblaku?
- Ali je mogoče rekonstruirati zamenjavo uporabnika ali vzporedno uporabniško sejo?
- Kakšen pomen ima samodejna prijava?
- Ali je mogoče digitalni artefakt pripisati določenemu uporabniškemu profilu?
- Kako je treba oceniti artefakte iz skupnih ali tehničnih računov?
- Ali je mogoče razlikovati, ali so bili digitalni podatki ustvarjeni samodejno ali z dejanjem uporabnika?
- Ali je mogoče ugotoviti, ali je bil uporabniški račun zlorabljen ali ga je uporabljala tretja oseba?
- Kako se ocenjujejo digitalne sledi, če isti račun uporablja več naprav?
- Ali je mogoče digitalno dejanje na skupno uporabljanih računalnikih pripisati določenemu uporabniku?
- Ali je mogoče zanesljivo razlikovati med lokalnim uporabniškim računom, računom v domeni in računom v oblaku?
- Ali je mogoče dokazati zamenjavo uporabnika ali vzporedno uporabniško sejo?
- Kakšen pomen ima samodejna prijava za dodeljevanje uporabnikov?
- Ali je mogoče digitalni artefakt pripisati določenemu uporabniškemu profilu znotraj večuporabniškega sistema?
Komunikacija: klepet, e-pošta in sporočila
- Ali je mogoče tehnično preveriti pristnost in popolnost zgodovine klepeta?
- Ali je tehnično mogoče določiti izvor e-poštnega sporočila in pot, po kateri je bilo poslano?
- Kakšno dokazno vrednost imajo push-obvestila kot digitalni dokaz?
- Kaj dejansko dokazuje digitalno potrdilo o branju?
- Kako je treba obravnavati razlike v stanju sporočil na strani pošiljatelja in prejemnika?
- Ali je mogoče pri prilogi v e-pošti razlikovati med prejemom, shranjevanjem, odpiranjem in obdelavo?
- Ali je mogoče ugotoviti, ali je bil e-poštni sporočilo posredovano ali pa je bila njegova vsebina vnesena ročno?
- Kakšno informacijsko vrednost imajo glave e-poštnih sporočil glede izvora in poti prenosa?
- Ali je mogoče ugotoviti, ali je bil e-poštni sporočil izbrisan lokalno, na strežniku ali prek sinhronizacije?
Fotografije, videoposnetki in multimedijski vsebini
- Ali je mogoče iz zaklenjenega zaslona sklepati na dejansko uporabo naprave?
- Ali je mogoče ugotoviti, ali je bila fotografija ali videoposnetek posnet z določeno napravo?
- Ali je mogoče razlikovati med izvirnim posnetkom, obdelano datoteko in pretvorjeno kopijo?
- Kakšen pomen imajo predogledne slike in predogledni predpomnilniki?
- Kakšno dokazno vrednost ima posnetek zaslona kot digitalni dokaz?
- V kolikšni meri so metapodatki fotografij in videoposnetkov zanesljivi kot sodni dokaz?
- Ali predogledna slika ali miniatura kaže, da je bila zadevna datoteka odprta?
Naprave, omrežje in sistemski artefakti
- Ali je mogoče ugotoviti, ali je bila naprava povezana z določenim WLAN?
- Kakšen pomen imajo identične datoteke na več napravah?
- Ali je mogoče ugotoviti, katera naprava je prvotno povzročila sinhronizirano spremembo?
- Ali je mogoče domnevni oddaljeni dostop do računalnika tehnično dokazati?
- Ali je mogoče časovno rekonstruirati zamenjavo omrežja na napravi?
- Ali je mogoče ugotoviti, ali je posodobitev sistema spremenila ali izbrisala digitalne sledi?
- Kako vpliva migracija na novo napravo na oceno dokazov?
- Ali je mogoče ugotoviti, ali je bila določena zunanja naprava povezana z računalnikom?
- Ali je mogoče ugotoviti, ali je bila določena programska oprema nameščena ali dejansko zagnana?
- Ali je mogoče naknadno ugotoviti, ali je bila neka programska oprema v preteklosti nameščena, čeprav je bila medtem odstranjena?
- Ali je mogoče ugotoviti, ali so bili podatki preneseni ali pridobljeni prek omrežne delitve?
- Kakšno dokazno vrednost imajo začasni podatki iz delovnega pomnilnika pred sodiščem?
- Ali je mogoče naknadno dokazati, da je potekala seja z oddaljenim namizjem ali oddaljenim dostopom?
- Ali je mogoče ugotoviti, ali je bila naprava v zadevnem trenutku blokirana ali pa se je z njo aktivno ravnalo?
- Ali je mogoče ugotoviti, s katerim omrežjem je bila naprava povezana v določenem trenutku?
- Kako se časovni podatki zunanjega Server primerjajo z lokalnim časom naprave?
- Kakšen vpliv lahko imajo posodobitve sistema na digitalne sledi?
- Ali je mogoče forenzično ugotoviti, da je prišlo do prenosa podatkov s stare naprave na novo?
Izbris, obnovitev in varnostno kopiranje
- Ali je mogoče dokazati, ali so bili podatki namerno izbrisani?
- Katere sledi lahko pusti obnovitev iz varnostne kopije?
- Kaj je mogoče zanesljivo ugotoviti po ponastavitvi na tovarniške nastavitve?
- Kakšno dokazno vrednost imajo varnostne kopije, posnetki stanja in zgodovinske varnostne kopije?
- Ali je mogoče ugotoviti, ali je bil nosilec podatkov formatiran ali pa je bil na njem na novo nameščen operacijski sistem?
- Kakšno dokazno vrednost imajo artefakti iz koša za papir in iz koša »Trash« na sodišču?
- Ali je mogoče ugotoviti, ali so bili izbrisani podatki kasneje prepisani?
- Kako obnovitev iz varnostne kopije vpliva na oceno dokazov?
- Katera sporočila so še vedno možna po ponastavitvi na tovarniške nastavitve?
Preverjanje pristnosti, šifriranje in zaščita dostopa
- Ali je mogoče razlikovati med avtentifikacijo z geslom, biometrično avtentifikacijo in avtentifikacijo na podlagi seje?
- Kakšno dokazno vrednost imajo shranjena gesla, žetoni in podatki za dostop pred sodiščem?
- Kakšno vrednost imajo šifrirani kontejnerji in virtualni nosilci podatkov?
- Katera izjava je dopustna v primeru šifriranih ali le delno dostopnih dokazov?
- Kako se tehnično preveri digitalni podpis?
Anonimizacija, VPN in sledi v omrežju
Oblak, virtualni sistemi in kontejnerji
- Ali je mogoče ugotoviti, ali je bil arhiv razpakiran ali pa je bila njegova vsebina uporabljena?
- Kako se preiskujejo virtualni stroji kot digitalni dokazi?
- Ali je mogoče ugotoviti, ali je virtualni stroj v določenem trenutku deloval?
- Kakšno dokazno vrednost imajo sledi sinhronizacije v oblaku pred sodiščem?
- Kakšno dokazno vrednost imajo šifrirani kontejnerji in virtualni nosilci podatkov pred sodiščem?
- Kako se preiskujejo virtualni stroji kot digitalni dokazi?
Datoteke, metapodatki in časovni žigi
- Ali je mogoče ugotoviti, kdaj je bila datoteka ustvarjena ali spremenjena?
- Ali je mogoče ugotoviti, ali je bila datoteka dejansko odprta ali v uporabi?
- Ali je mogoče ugotoviti, ali je bila datoteka le prikazana ali dejansko urejena?
- Kakšno vrednost imajo osnutki, datoteke za samodejno shranjevanje in začasni dokumenti?
- Ali je mogoče datoteko pripisati določenemu programu, s katerim je bila ustvarjena?
- Ali je mogoče ugotoviti, ali je bil dokument izvožen iz druge datoteke?
- Ali lahko sledi v odložišču dokazujejo, da je bil opravljen postopek kopiranja in lepljenja?
- Kakšno dokazno vrednost imajo datoteke ZIP, RAR in druge arhivske datoteke pred sodiščem?
- Kako zanesljiva je digitalna časovna os pred sodiščem?
- Kakšno vrednost imajo iskalni indeksi in indeksirana vsebina datotek?
- Ali je mogoče razlikovati med dejansko izvedenim iskanjem in zgolj indeksiranjem?
- Ali je mogoče ugotoviti, ali je digitalno dejanje sprožila načrtovana naloga ali avtomatizacija?
- Ali je mogoče ugotoviti, ali je v določenem trenutku obstajala pooblastitev?
- Ali je mogoče obnoviti spremembo uporabniških ali skupinskih pooblastil?
- Kdaj je sploh mogoče iz odsotnosti digitalnega artefakta potegniti zaključek?
- Ali je mogoče dokazati, ali je bil digitalni dokument naknadno spremenjen?
- Ali je mogoče ugotoviti, katera različica dokumenta je obstajala v določenem trenutku?
- Ali je mogoče ugotoviti, ali je bila datoteka prenesena iz interneta?
- Ali je mogoče ugotoviti, ali je bil računalnik v določenem trenutku vklopljen ali izklopljen?
- Ali je mogoče ugotoviti, ali so bile datoteke preimenovane ali premaknjene znotraj sistema?
- Kakšno dokazno vrednost imajo pred sodiščem obnovljene ali le delno ohranjene datoteke?
- Ali je mogoče ugotoviti, ali je bila datoteka ali informacija natisnjena?
- Ali je mogoče ugotoviti, ali je bila datoteka dejansko odprta?
- Ali je mogoče dokazati, da se je oseba dejansko seznanila z vsebino digitalne datoteke?
- Ali je mogoče razlikovati, ali je bila datoteka kopirana, premaknjena ali sinhronizirana?
- Ali je mogoče čas izbrisa tehnično omejiti?
- Ali je mogoče dokazati dostop do datoteke, čeprav je datoteka ostala nespremenjena?
- Ali je mogoče ugotoviti, ali je prišlo do manipulacije z časovnimi oznakami datotek ali sistema?
- Ali je mogoče razlikovati med izvirno datoteko in pretvorjeno ali ponovno shranjeno različico?
- Kakšen pomen imajo indeksi iskanja za obstoj ali uporabo datoteke?
Nasprotja, verjetnost in ocena dokazov
- Kako IT-izvedenec preveri domnevni potek dogodkov, če si digitalni dokazi med seboj nasprotujejo?
- Kako zanesljivi so ročno spremenjeni metapodatki kot dokaz?
- Ali je lahko zlonamerna programska oprema alternativna razlaga za digitalno dejanje?
- Kako ravnati z nasprotujočimi si digitalnimi sledmi?
- Kako se preveri tehnična verodostojnost domnevne digitalne verige dogodkov?
- Kako IT-strokovnjak oceni dve tehnično verjetni razlagi?
- Kako se v strokovnem mnenju natančno opredeli tehnična nezmožnost dokazovanja?
- Kako je treba v IT-izvedenskem mnenju obravnavati nasprotujoče si digitalne dokaze?
Izvedenska mnenja, sodni postopki in izvedenci
- Kako se v praksi uresničujeta neodvisnost in nevtralnost IT-izvedenca?
- Zakaj mora biti IT-izvedensko mnenje razumljivo tudi za tiste, ki niso forenzični strokovnjaki?
- Zakaj je tehnični priloga del razumljivega IT-izvida?
- Kako se sestavi IT-izvedensko mnenje za morebitno nasprotno izvedensko mnenje, da bo mogoče ponoviti njegovo pripravo?
- Kako se dokončno in nedvoumno odgovori na vprašanje v zvezi z informacijskimi dokazi v sodnem postopku?
- Kako se v izvedenskem mnenju upoštevajo časovni pasovi, poletni čas in napačne sistemske ure?
- Kako je mogoče tehnično preveriti že obstoječe zasebno IT-mnenje?
- Strokovnjak ali strokovni priča – kaj je treba razlikovati pri digitalnih dejstvih?
- Kako se IT-izvedensko mnenje pred sodiščem pojasni in preveri na podlagi dopolnilnih vprašanj?
- Kakšen vpliv ima nepopolna veriga nadzora na tehnično zanesljivost?
- Kaj se zgodi, če se med forenzično preiskavo IT odkrijejo nova dejstva, ki niso zajeta v sodnem nalogu?
- Kje se konča tehnična ugotovitev IT-izvedenca in kje se začne presoja dokazov s strani sodišča?
Druga vprašanja v zvezi z dokazovanjem
- Kakšno dokazno vrednost ima posnetek zaslona ali fotografija digitalne vsebine?
- Ali je mogoče dokazati, ali so bili podatki kopirani na USB-nosilec podatkov?
- Kako se digitalni dokazi zavarujejo tako, da je preiskava kasneje še vedno preverljiva?
- V kolikšni meri so digitalni podatki o lokaciji zanesljivi kot sodni dokaz?
- Ali je mogoče domnevno uporabo interneta ali brskalnika tehnično rekonstruirati?
- Ali je mogoče ugotoviti izvor digitalne datoteke ali niza podatkov?
- Kako se ravna s poškodovanimi ali nepopolnimi digitalnimi dokazi?
- Kako se na sodišču ocenjujejo vnosi v bazo podatkov ter sledi WAL in dnevnika?
- Kakšno dokazno vrednost imajo sistemski in dogodkovni dnevniki pred sodiščem?
- Ali je mogoče IP-naslov pripisati določeni osebi?
- Ali je mogoče ugotoviti znake uporabe protiforenzičnih metod ali namernega brisanja sledi?
- Kaj ima večjo dokazno vrednost: izvirni podatki, forenzična varnostna kopija ali izvozljeno poročilo?
- Kdaj je smiselno opraviti novo forenzično preiskavo na področju informacijske tehnologije v skladu s § 412 ZPO?
- Ali je mogoče dokazati, ali je bil digitalni dokaz po zasegu spremenjen?
- Ali je mogoče ugotoviti, ali so bile uporabljene administrativne pravice ali pravice z višjo stopnjo?
- Kako je treba oceniti digitalni dokaz, ki je bil pred forenzičnim zajemom že v nadaljnji rabi?
- Ali je mogoče zanesljivo rekonstruirati zaporedje več digitalnih dejanj?
- Ali je mogoče tehnično preveriti pristnost in izvor posnetka zaslona?
- Ali je mogoče ugotoviti, kdaj je bil arhiv ZIP, RAR ali kakšen drug arhiv ustvarjen ali razpakiran?
- Ali je pri datoteki PDF mogoče ugotoviti, iz katerega izvirnega dokumenta je bila ustvarjena?