IT-forenzika · Posamezniki

Kako lahko ugotovim, ali je na mojem Macu prišlo do nepooblaščenega oddaljenega dostopa?

macOS ponuja lastne funkcije za skupno rabo in oddaljeni dostop; poleg tega je mogoče uporabljati tudi programe tretjih ponudnikov.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za posameznike

Morebitni nepooblaščen dostop pogosto zadeva zelo osebne podatke in lahko povzroči veliko negotovost. Prav zato je pomembna objektivna preiskava: ne vsaka nenavadnost je napad, vendar je treba konkreten sum preveriti na podlagi ustreznih digitalnih sledi.

Tehnični pristop k preiskavi

Preučujemo ustrezne nastavitve sistema macOS, dnevnike, sledi uporabnikov, procesov in omrežja ter obstoječo programsko opremo za oddaljeni dostop.

Kje je meja izjavljanja

Ni vsaka aktivirana funkcija za omogočanje dostopa bila dejansko uporabljena od zunaj.

Zakaj LanCologne?

Za posameznike je morebitni nepooblaščen dostop pogosto veliko več kot le tehnični problem. Na pametnem telefonu ali računalniku se nahajajo osebna korespondenca, fotografije, dokumenti, podatki za prijavo in pogosto tudi dostop do drugih spletnih računov. Zato vsak sum jemljemo resno, vendar ga pred preiskavo ne obravnavamo kot dejstvo.

LanCologne se ne začne z vprašanjem: „Kdo me je heknil?“, temveč s preverljivimi tehničnimi vprašanji. Kakšna je ugotovitev? Kateri običajni tehnični vzroki pridejo prav tako v poštev? Kateri artefakti bi morali biti prisotni, če bi se domnevno dejanje dejansko zgodilo? Kateri neodvisni viri podatkov lahko potrdijo ali ovržejo trditev?

Pri tem dosledno razlikujemo med tehnično možnostjo in dokazanim dejanjem. Nameščen program za vzdrževanje na daljavo še ne dokazuje dostopa na daljavo. Neznan prijavni podatek sam po sebi ne dokazuje identitete osebe. Visoka poraba baterije še ne dokazuje prisotnosti vohunske programske opreme.

Avtomatizirani skenerji in forenzična programska oprema so le pripomočki. Zanesljiva ugotovitev nastane šele s preverjanjem izhodiščnih podatkov, časovnega konteksta in medsebojne povezave več sledi.

Enako pomemben je tudi negativen izid. Če na podlagi razpoložljivih podatkov ni mogoče potrditi domnevnega nepooblaščenega dostopa, se tudi to jasno dokumentira. Kadar podatki ne omogočajo zanesljive ugotovitve, te vrzeli ne zapolnjujemo z domnevami.

Naš način dela

1Upoštevajte opažanja in konkretne skrbi stranke.

2Na podlagi tega oblikujte preverljiva tehnična dokazna vprašanja.

3Dajte prednost nujnim varnostnim ukrepom in ukrepom za omejevanje škode.

4Ohranitev podatkov, pomembnih za dokazovanje, pred spremembami, ki jih je mogoče preprečiti.

5Preiskujte le naprave, račune in podatke, ki so vam bili zakonito predani.

6Dokumentirati izvor, čas varnostnega kopiranja in celovitost ustreznih podatkov.

7Preverite tudi običajne tehnične vzroke in nasprotne hipoteze.

8Razlikovanje med dodelitvijo računa, naprave, seje in osebe.

9Preverjanje veljavnosti sporočil skenerja in orodij glede na primarne podatke.

10Ugotovitve, ki govorijo v škodo in v korist, je treba ocenjevati po istem merilu.

11Izrecno navedite točke, ki jih ni mogoče dokazati, ter vrzeli v podatkih.

12Rezultat je treba dokumentirati tako, da je razumljiv za zasebne stranke in jasen za strokovnjake.

Vaš sum jemljemo resno – vendar iz njega ne sklepamo na nobeno diagnozo

Forenzična preiskava mora upoštevati tudi možnost, da ima sumljiva ugotovitev običajen tehnični vzrok. To varuje stranko pred napačnimi zaključki in dejansko pozitivni izsledek naredi precej bolj zanesljivega.

Zagotavljanje dokazov in varnost morata biti usklajeni

V primeru akutne zlorabe računa je morda potrebno spremeniti gesla, prekiniti sej ali blokirati račun. Hkrati pa lahko spremembe vplivajo na zgodovinske zapise. Zato dajemo prednost ohranjanju dokazov tam, kjer je to smiselno in izvedljivo, ne da bi pri tem umetno podaljševali nastajajočo škodo.

Zakaj izbrati LanCologne za zasebno IT-forenzično preiskavo?

Naša naloga ni potrditi strahov stranke. Odgovarjamo na tehnično dokazno vprašanje. Podatke, na katerih temelji naša ugotovitev, postopek izpeljave in omejitve zaključka dokumentiramo tako, da ostane rezultat razumljiv in ga lahko po potrebi strokovno ovrednoti tudi odvetnik, pristojni organ ali drug usposobljen IT-forenzik.

Pravni okvir

V primeru domnevnega nepooblaščenega dostopa lahko pride do različnih kaznivih dejanj. § 202a Kazenskega zakonika (StGB) v skladu s svojimi pogoji zajema nepooblaščeno pridobitev dostopa do podatkov, ki so posebej zaščiteni pred nepooblaščenim dostopom in niso namenjeni storilcu, s premagovanjem zaščite dostopa. § 202b Kazenskega zakonika (StGB) v skladu s svojimi pogoji obravnava nepooblaščeno prestrezanje podatkov, ki niso namenjeni storilcu, iz nejavnega prenosa podatkov oziroma elektromagnetnega sevanja.

Tudi spreminjanje podatkov (§ 303a Kazenskega zakonika) ali računalniški sabotaj (§ 303b Kazenskega zakonika) sta lahko pomembna, odvisno od dejanskega stanja. V zvezi z nadlegovanjem § 238 Kazenskega zakonika med drugim upošteva določena digitalna dejanja in izrecno napotuje na dejanja iz §§ 202a do 202c. Tehnična ugotovitev dostopa ali spremembe pa še ne pomeni avtomatično, da so izpolnjeni vsi sestavni elementi kaznivega dejanja ali da je določena oseba storilec.

Za poznejše zavarovanje dokazov je pomembno, da digitalnih vsebin ne spreminjate brez potrebe. Tudi policijska služba za preprečevanje kriminala pri spletnih kaznivih dejanjih priporoča takojšnjo dokumentacijo digitalnih dokazov; v primeru hekanih računov sta v ospredju hkrati hitro omejevanje škode in zaščita. Oboje je treba v konkretnem primeru smiselno uskladiti.

LanCologne ne podaja kazenskopravnih obtožb in ne nadomešča niti policije niti odvetnika. Na zakonito predloženih napravah in podatkih lahko ugotovimo tehnična dejstva in jih jasno dokumentiramo. Ali iz tega izhaja kaznivo dejanje, civilnopravna terjatev ali kakršna koli druga pravna posledica, presojajo pristojni organi.

Pogosta vprašanja

Kako lahko ugotovim, ali je na mojem Macu prišlo do nepooblaščenega oddaljenega dostopa?

Morebitni nepooblaščen dostop pogosto zadeva zelo osebne podatke in lahko povzroči veliko negotovost. Prav zato je pomembna objektivna preiskava: ne vsaka nenavadnost je napad, vendar je treba konkreten sum preveriti na podlagi ustreznih digitalnih sledi.

Kako poteka takšna tehnična preiskava v praksi?

Preučujemo ustrezne nastavitve sistema macOS, dnevnike, sledi uporabnikov, procesov in omrežja ter obstoječo programsko opremo za oddaljeni dostop.

Ali lahko takšna preiskava vedno prinese nedvoumni rezultat?

Ni vsaka aktivirana funkcija za omogočanje dostopa bila dejansko uporabljena od zunaj.

Ali za to obstaja pravna podlaga?

V primeru domnevnega nepooblaščenega dostopa lahko pride do različnih kaznivih dejanj. § 202a Kazenskega zakonika (StGB) v skladu s svojimi pogoji zajema nepooblaščeno pridobitev dostopa do podatkov, ki so posebej zaščiteni pred nepooblaščenim dostopom in niso namenjeni storilcu, s premagovanjem zaščitnih ukrepov za dostop. § 202b Kazenskega zakonika (StGB) v skladu s svojimi pogoji obravnava nepooblaščeno prestrezanje podatkov, ki niso namenjeni storilcu, iz nejavnega prenosa podatkov oziroma elektromagnetnega sevanja. Tudi spreminjanje podatkov (§ 303a Kazenskega zakonika) ali računalniški sabotaža (§ 303b Kazenskega zakonika) sta lahko relevantna, odvisno od dejanskega stanja. Pri nadlegovanju § 238 Kazenskega zakonika med drugim upošteva določena digitalna dejanja in izrecno napotuje na dejanja iz §§ 202a do 202c. Tehnična ugotovitev dostopa ali spremembe pa še ne pomeni avtomatično, da so izpolnjena vsa sestavna dela kaznivega dejanja ali da je določena oseba storilec. Za poznejše zavarovanje dokazov je pomembno, da se digitalnih vsebin ne spreminja po nepotrebnem. Tudi policijska služba za preprečevanje kriminala pri spletnih kaznivih dejanjih priporoča takojšnjo dokumentacijo digitalnih dokazov; pri hekanih računih sta hkrati v ospredju hitro omejevanje škode in zavarovanje. V konkretnem primeru je treba oboje smiselno uskladiti. LanCologne ne podaja kazenskopravnih obtožb in ne nadomešča niti policije niti odvetnika. Na zakonito predloženih napravah in podatkih lahko ugotovimo tehnična dejstva in jih pregledno dokumentiramo. Ali iz tega izhaja kaznivo dejanje, civilnopravni zahtevek ali kakšna druga pravna posledica, ocenijo pristojni organi.