Informatyka śledcza

Z Wikipedii, wolnej encyklopedii
To jest stara wersja tej strony, edytowana przez 89.25.153.41 (dyskusja) o 15:52, 11 kwi 2018. Może się ona znacząco różnić od aktualnej wersji.

Informatyka śledcza (ang. Computer Forensics) - gałąź nauk sądowych, której celem jest dostarczanie cyfrowych środków dowodowych popełnionych przestępstw lub nadużyć, a także odtworzenie stanu poprzedniego w celu ustalenia motywów działania sprawcy lub ofiary. Jej zadaniami są: zbieranie, odzyskiwanie, analiza oraz prezentacja, w formie specjalistycznego raportu, danych cyfrowych znajdujących się na różnego rodzaju nośnikach (dyski twarde komputerów, dyskietki, płyty CD, pamięci przenośne, serwery, telefony komórkowe itp.) oraz, zyskujących na popularności wraz z postępem informatyzacji, internetowych nośnikach danych (portale społecznościowe, dyski w chmurze czy wyszukiwarki internetowe)[1] . Efektem działań specjalistów informatyki śledczej są dane elektroniczne przygotowane w sposób spełniający kryteria dowodowe zgodnie z obowiązującymi w danym kraju regulacjami prawnymi.

Zastosowanie

Do najczęstszych przypadków zastosowania informatyki śledczej w Polsce należą:

  1. W sferze biznesowej - kradzież danych przez zwalnianych lub nielojalnych pracowników oraz sabotaż (usuwanie lub kradzież danych firm lub instytucji publicznych mające na celu m.in. osłabienie ich pozycji konkurencyjnej lub pozyskanie know-how).
  2. W sferze prywatnej - ustalanie motywów ucieczek nieletnich, zaginięć osób a także niewyjaśnionych zgonów (ustalenie czy osobę nakłaniano do samobójstwa lub czy dokonano morderstwa)[2]

Dowód elektroniczny i przestępstwa komputerowe

Dowód elektroniczny (ang. digital evidence) jest dopuszczalny zarówno w procesie cywilnym jak i karnym. Jest to typ dowodu naukowego, spełniającego bardzo rygorystyczne wymagania amerykańskiego standardu Dauberta, zgodnie z którym metoda lub teoria naukowa, aby stać się dowodem, musi:

  1. Sama w sobie być sprawdzalna i zostać już poddana kontroli;
  2. Być opisana i oceniona w literaturze fachowej;
  3. Mieć znany lub przewidywany poziom błędów uzyskiwanych przy stosowaniu tej metody;
  4. Uzyskać powszechną akceptację („general acceptance”) specjalistów w danej dziedzinie.

Wymóg powszechnej akceptacji jest ważnym czynnikiem decydującym o dopuszczeniu konkretnego dowodu, jednak nie stanowi warunku koniecznego. Polskie prawo również – co do zasady – przyjmuje, że dowody elektroniczne mogą być wykorzystane w postępowaniu przed sądem . Dowód elektroniczny musi być pozyskany, potwierdzony (poddany procesowi uwierzytelniania), zabezpieczony i zanalizowany w sposób, który uniemożliwi obronie podniesienie zarzutu manipulacji dowodem czy fałszerstwa.

Przestępstwa komputerowe definiuje konwencja Rady Europy ETS 185, gdzie wskazuje się następujące ich grupy:

  1. Przestępstwa przeciw poufności (Confidentiality), integralności (Integrity) i dostępności (Availability) danych (tzw. przestępstwa CIA). Obejmują one między innymi: nielegalny dostęp do systemów przez hacking, podsłuch czy oszukiwanie uprawnionych użytkowników (powszechnie znany „phishing”), szpiegostwo komputerowe (włączając trojany i inne techniki), sabotaż i wymuszenia komputerowe (wirusy, ataki DDoS, spam) .
  2. Powiązane z komputerami (sieciami) przestępstwa tradycyjne, zaczynając od oszustw (od klasycznych, czyli manipulacji fakturami czy kontami firmowymi, do manipulacji on-line – oszukańczych aukcji czy nielegalnego używania kart kredytowych), poprzez komputerowe podróbki, aż do ataków na ludzkie życie przez np. manipulowanie systemami szpitalnymi czy systemami kontroli ruchu powietrznego.
  3. Przestępstwa dotyczące zawartości (treści). Ta kategoria obejmuje na przykład dziecięcą pornografię, dostarczanie instrukcji przestępczych, a także samo oferowanie popełniania przestępstw. Ta kategoria obejmuje także molestowanie i mobbing poprzez sieć, rozpowszechnianie fałszywych informacji (np. czarny PR, schematy „pump and dump”) oraz internetowy hazard.
  4. Przestępstwa powiązane z naruszeniem prawa autorskiego i praw pokrewnych, takie jak nieautoryzowane kopiowane i rozpowszechnianie programów komputerowych. Do tej kategorii zalicza się także nieautoryzowane użycie baz danych.

Należy podkreślić, że dziedzina dostarczania elektronicznych środków dowodowych wybiega znacznie poza przestępstwa komputerowe i ma zastosowanie przy każdym przestępstwie czy nadużyciu, gdzie urządzenia elektroniczne miały zastosowanie jako nośnik danych. Podsumowanie przestępczości komputerowej w USA zawiera doroczny "Computer Crime Survey" dostępny na www.gocsi.com. Ponadto, co warto zauważyć, zebrany materiał niekwalifikujący się dowodowo potrafi często naprowadzić śledczych na właściwy tor postępowania lub ewidentnie wskazać, wobec sprzecznego materiału dowodowego, prawdopodobny przebieg zdarzeń[3].

Procedura badań kryminalistycznych nośników danych

  1. Utworzenie protokołu dostarczenia nośników danych z dokładnym zbadaniem poprawnego zabezpieczenia materiału dowodowego poprzez ich prawidłowe zaplombowanie (np. obudowy komputera jak i portów) oraz ewentualne potwierdzenie zabezpieczonych dowodów najlepiej sumą kontrolną jak również sprawdzenie zgodności opisu ich marki, numerów seryjnych oraz dostarczonej ilości. W razie nieprzestrzegania procedury przy zabezpieczaniu urządzenia dowód takowy traci na wiarygodności w postępowaniu sądowym.
  2. Podłączenie blokera w celu odczytania danych z zabezpieczonego dysku twardego komputera w sposób bezpieczny bez zmiany jego stanu danych, gwarantujący nienaruszalność nośnika źródłowego. Aby zatrzymany dysk twardy został uznany za dowód nie można dopuścić aby doszło do zapisania na nim jakiejkolwiek informacji po dacie jego zabezpieczenia. Bloker zabezpiecza zarekwirowany dysk przed zapisaniem na nim jakiegokolwiek nośnika danych. Gdyby po dacie zabezpieczenia dysku twardego komputera doszło do zmodyfikowania daty powstania jakiegokolwiek pliku to wartość takiego dowodu jak i jego wiarygodność jest przekreślona. Należy pamiętać, że każde uruchomienie komputera powoduje powstanie śladów, które wskazują na to że doszło do modyfikacji zabezpieczonego dysku twardego komputera wtedy przeprowadzona analiza nie może stanowić pełnoprawnego dowodu w postępowaniu sądowym.
  3. Sklonowanie nośników informacji z dysku twardego komputera metodą programową lub sprzętową. Klonowanie danych metodą programową wymusza stosowanie blokera w celu zabezpieczenia danych które na nich się znajdują. Uruchomienie komputera bez pomocy blokera powoduje naruszenie integralności zabezpieczonego urządzenia i jego zmodyfikowanie. Sprzętowe blokady dysków wymuszają pracę dysku twardego w trybie read only i tym samym uniemożliwiają zapis jakichkolwiek danych na zabezpieczonym do badania dysku twardym.
  4. Przeprowadzenie na klonie danych ich szczegółowej analizy zgodnie z zapytaniem zleceniodawcy stosując w tym celu specjalistyczne urządzenia i programy, które uniemożliwiają modyfikację danych na zabezpieczonym do analizy nośniku danych. Analiza danych musi zostać przeprowadzona z dużą rzetelnością, starannością przy zachowaniu zasad, procedur stosowanych zgodnie z zasadami informatyki śledczej oraz łańcuchem dowodowym, który ma swój początek w momencie zabezpieczania urządzenia, a kończy się w chwili gdy biegły obroni swoją opinię na rozprawie sądowej.
  5. Opisanie z wysoką starannością całej procedury klonowania i pełnej analizy kopii komputerowego, cyfrowego czy elektronicznego nośnika danych uzyskanych z zarekwirowanego urządzenia zawierającego materiał dowodowy oraz umieszczenie pod przedmiotową kartą opisu odpowiednich podpisów i pieczęci- w przypadku braku odpowiedniego, rzetelnego czy pełnego opisu procedury klonowania czy analizy kopia nośnika danych jest bezwartościowa jako dowód.
  6. Sporządzenie z rzetelnej ekspertyzy wraz z pełnym opisem jej przebiegu i wyniku wyeksportowanego do danej postaci pliku oraz z przedstawieniem pełnych raportów analizy nośników danych z naznaczeniem pozycji i ujawnionych informacji z nośnika danych, które stanowią materiał dowodowy do wydania opinii służącej w procesie sądowym przy równoczesnym oznaczeniu dat utworzenia, modyfikacji jak i ostatniego dostępu do danych stanowiących materiał dowodowy. Należy wyszczególnić dane, które zostały odzyskane po skasowaniu czy sformatowaniu dysku twardego komputera.
  7. Wystawienie opinii zgodnej z zapytaniem zlecającego z przytoczeniem metody i sposobu przeprowadzenia analizy kopii komputerowego, cyfrowego czy elektronicznego nośnika danych.

Narzędzia informatyków śledczych

Narzędzia CF obejmują sprzęt komputerowy (np. blokery) i oprogramowanie. Warto jednak dodać, że łatwiej akceptowane w postępowaniach sądowych są rezultaty uzyskane za pomocą standardowych, wielokrotnie sprawdzonych narzędzi służących przeszukiwaniu nośników, odzyskiwaniu danych oraz analizie i raportowaniu. Klasyczne programowe narzędzia informatyki śledczej są przeznaczone do pracy z jednym komputerem – można tu wymienić np. Forensic Toolkit firmy AccessData. Od kilku lat dostępne są także narzędzia służące kontroli i analizie zdarzeń zachodzących w sieci firmowej, takie jak Nuix Investigator, australijskiej firmy Nuix, czy X-Ways Forensic niemieckiej firmy X-Ways powszechnie wykorzystywany na terenie Unii Europejskiej oraz EnCase Forensic stworzony przez GuidanceSoftware na potrzeby wymiaru sprawiedliwości działającego w oparciu o prawo anglosaskie, z kolei firma Micro Systemation wprowadziła na rynek program .XRY służący do analiz zawartości pamięci telefonów komórkowych. Do analiz obrazów wideo i zdjęć specjaliści informatyki śledczej stosują przeważnie program Amped Five używany szeroko przez europejskie organa ścigania.[potrzebny przypis][4]

Część informatyków śledczych przedkłada narzędzia komercyjne nad otwarte i wolne oprogramowanie. Nie da się zaprzeczyć, że oprogramowanie komercyjne wymaga często dużo mniej wysiłku i zaangażowania niż oprogramowanie niszowe, mimo to zdania dotyczące przewagi jednego nad drugim są podzielone.

Nie jest prawdą, że w przypadku procesu sądowego łatwo jest podważyć prawdziwość dowodu elektronicznego zebranego za pomocą narzędzi otwartych. Sam fakt otwartości kodu daje przewagę użytkownikowi, ponieważ jest w stanie sprawdzić co dokładnie robi jego oprogramowanie i obala mit, że otwarte i wolne oprogramowanie może być postrzegane jako umożliwiające ingerencję w samo narzędzie, a poprzez to również w informacje przedstawiane jako dowód. Uniemożliwienie podważenia swojej opinii zależy wyłącznie od wiedzy i rzetelności biegłego.

Nie mniej jednak, w pracy informatyka śledczego, o wartości dowodowej zgromadzonego materiału w mniejszym stopniu decyduje użyte oprogramowanie co poprawna metodologia działań. Nawet najmniejsze odstępstwo od przyjętych zasad może bowiem doprowadzić do takiego "skażenia" materiału, że niemożliwym jest jednoznaczne ustalenie jego miejsca pochodzenia lub czasu powstania[5].

Zadania specjalistów informatyki śledczej

  • ustalanie zakresu analizy dowodów elektronicznych oraz przedmiotu poszukiwania
  • właściwe zabezpieczenie kopii danych
  • szczegółowa analiza śladów elektronicznych
  • sporządzenie raportu dotyczącego analizowanych danych.

Informatycy śledczy wykorzystywani są najczęściej w przypadkach

Gdzie specjaliści informatyki śledczej szukają informacji?

Dane zawarte w systemie
 Dane ukryte
 Otoczenie komputera
 Zasoby internetowe

Przypisy

  1. ↑ Jakub Dzikowski, Uniwersytet Ekonomiczny w Poznaniu: Wyszukiwanie danych osobowych w Internecie dla celów Informatyki Śledczej
  2. ↑ W Polityce - Informatyka Śledcza w rozkwicie
  3. ↑ Fakt.pl Co jeszcze ukrywają rodzice Madzi? Ktoś sczyścił dane z komputera rodziców Madzi
  4. ↑ K.Waniek (red.), ForensicTool.pl [online], www.forensictools.pl, 11 kwietnia 2018.
  5. ↑ blog.grabowski.ostrowwlkp.pl - Wstęp do informatyki śledczej

Zobacz też

Uwarunkowania prawne dotyczące dowodów w postaci elektronicznej z polskiego prawa:

  • Kodeks pracy: Art.52.§1-3 Art.114 Art.115 Art.116 Art.119 Art.114. Art.122 Art.267.§1-4 Art.268.§1-4 Art.268a.§1-3 Art.287.§1-3
  • Ustawa o zwalczaniu nieuczciwej konkurencji
  • Kodeks postępowania cywilnego: Art.227 Art.278 Art.305 Art.227 Art.307.§1-3 Art.308.§1-2 Art.309.

Linki zewnętrzne

Źródło: „https://pl.wikipedia.org/w/index.php?title=Informatyka_śledcza&oldid=53191686”