Informatyka śledcza

Z Wikipedii, wolnej encyklopedii
Przejdź do nawigacji Przejdź do wyszukiwania

Informatyka śledcza (ang. computer forensics) – dział informatyki powiązany z naukami o bezpieczeństwie i naukami prawnymi, którego celem jest dostarczanie cyfrowych środków dowodowych. Często w sprawach popełnionych przestępstw lub nadużyć, ale także w celu odtworzenia stanu pierwotnego przy ustalaniu motywów działania sprawcy lub ofiary. Jej zadaniami są: zbieranie, odzyskiwanie, analiza i prezentacja (w formie specjalistycznego raportu) cyfrowych danych, znajdujących się na różnego rodzaju nośnikach (dyski twarde komputerów, dyskietki, płyty CD, pamięci przenośne, serwery, telefony komórkowe itp.), oraz w coraz popularniejszych ostatnio systemach i serwisach zdalnego gromadzenia, przechowywania i przetwarzania danych, takich jak: (serwisy społecznościowe, przestrzeń dyskowa w chmurze czy wyszukiwarki internetowe)[1]. Efektem działań informatyków śledczych są elektroniczne materiały dowodowe, przygotowane zgodnie z duchem dochodzeniowo-śledczym (ang. forensically sound)[2].

Zastosowanie[edytuj | edytuj kod]

Do najczęstszych przypadków zastosowania informatyki śledczej w Polsce należą:

  1. W sferze biznesowej – kradzież danych przez zwalnianych lub nielojalnych pracowników oraz sabotaż (usuwanie lub kradzież danych firm lub instytucji publicznych mające na celu m.in. osłabienie ich pozycji konkurencyjnej lub pozyskanie know-how),
  2. W sferze prywatnej – ustalanie motywów ucieczek nieletnich, zaginięć osób a także niewyjaśnionych zgonów (ustalenie czy osobę nakłaniano do samobójstwa lub czy dokonano morderstwa)[3].

Dowód elektroniczny i przestępstwa komputerowe[edytuj | edytuj kod]

Dowód elektroniczny (ang. digital evidence) jest dopuszczalny zarówno w procesie cywilnym jak i karnym. Jest to typ dowodu naukowego, spełniającego bardzo rygorystyczne wymagania amerykańskiego standardu Dauberta, zgodnie z którym metoda lub teoria naukowa, aby stać się dowodem, musi:

  1. Sama w sobie być sprawdzalna i zostać już poddana kontroli;
  2. Być opisana i oceniona w literaturze fachowej;
  3. Mieć znany lub przewidywany poziom błędów uzyskiwanych przy stosowaniu tej metody;
  4. Uzyskać powszechną akceptację (ang. general acceptance) specjalistów w danej dziedzinie.

Wymóg powszechnej akceptacji jest ważnym czynnikiem decydującym o dopuszczeniu konkretnego dowodu, jednak nie stanowi warunku koniecznego. Polskie prawo również – co do zasady – przyjmuje, że dowody elektroniczne mogą być wykorzystane w postępowaniu przed sądem. Dowód elektroniczny musi być pozyskany, potwierdzony (poddany procesowi uwierzytelniania), zabezpieczony i zanalizowany w sposób, który uniemożliwi obronie podniesienie zarzutu manipulacji dowodem czy fałszerstwa.

Przestępstwa komputerowe definiuje konwencja Rady Europy ETS 185, gdzie wskazuje się następujące ich grupy:

  1. Przestępstwa przeciw poufności (ang. confidentiality), integralności (ang. integrity) i dostępności (ang. availability) danych (tzw. przestępstwa CIA). Obejmują one między innymi: nielegalny dostęp do systemów przez hacking, podsłuch czy oszukiwanie uprawnionych użytkowników (powszechnie znany „phishing”), szpiegostwo komputerowe (włączając trojany i inne techniki), sabotaż i wymuszenia komputerowe (wirusy, ataki DDoS, spam) .
  2. Powiązane z komputerami (sieciami) przestępstwa tradycyjne, zaczynając od oszustw (od klasycznych, czyli manipulacji fakturami czy kontami firmowymi, do manipulacji on-line – oszukańczych aukcji czy nielegalnego używania kart kredytowych), poprzez komputerowe podróbki, aż do ataków na ludzkie życie przez np. manipulowanie systemami szpitalnymi czy systemami kontroli ruchu powietrznego.
  3. Przestępstwa dotyczące zawartości (treści). Ta kategoria obejmuje na przykład dziecięcą pornografię, dostarczanie instrukcji przestępczych, a także samo oferowanie popełniania przestępstw. Ta kategoria obejmuje także molestowanie i mobbing poprzez sieć, rozpowszechnianie fałszywych informacji (np. czarny PR, schematy „pump and dump”) oraz internetowy hazard.
  4. Przestępstwa powiązane z naruszeniem prawa autorskiego i praw pokrewnych, takie jak nieautoryzowane kopiowane i rozpowszechnianie programów komputerowych. Do tej kategorii zalicza się także nieautoryzowane użycie baz danych.

Należy podkreślić, że dziedzina dostarczania elektronicznych środków dowodowych wybiega znacznie poza przestępstwa komputerowe i ma zastosowanie przy każdym przestępstwie czy nadużyciu, gdzie urządzenia elektroniczne miały zastosowanie jako nośnik danych. Podsumowanie przestępczości komputerowej w USA zawiera doroczny „Computer Crime Survey” dostępny na www.gocsi.com. Ponadto, co warto zauważyć, zebrany materiał niekwalifikujący się dowodowo potrafi często naprowadzić śledczych na właściwy tor postępowania lub ewidentnie wskazać, wobec sprzecznego materiału dowodowego, prawdopodobny przebieg zdarzeń[4].

Procedura analizy dochodzeniowo-śledczej nośników danych[edytuj | edytuj kod]

  1. Utworzenie protokołu dostarczenia nośników danych z dokładnym zbadaniem poprawnego zabezpieczenia materiału dowodowego poprzez ich prawidłowe zaplombowanie (np. obudowy komputera jak i portów) oraz ewentualne potwierdzenie zabezpieczonych dowodów najlepiej sumą kontrolną jak również sprawdzenie zgodności opisu ich marki, numerów seryjnych oraz dostarczonej ilości. W razie nieprzestrzegania procedury przy zabezpieczaniu urządzenia dowód takowy traci na wiarygodności w postępowaniu sądowym.
  2. Podłączenie blokera w celu odczytania danych z zabezpieczonego dysku twardego komputera w sposób bezpieczny bez zmiany jego stanu danych, gwarantujący nienaruszalność nośnika źródłowego. Aby zatrzymany dysk twardy został uznany za dowód nie można dopuścić aby doszło do zapisania na nim jakiejkolwiek informacji po dacie jego zabezpieczenia. Bloker chroni zabezpieczany dysk przed zapisaniem na nim jakichkolwiek danych. Gdyby po dacie zabezpieczenia dysku twardego, doszło do zmodyfikowania metadanych systemu plików (np. daty powstania jakiegokolwiek pliku) to wartość dowodowa zostanie utracona, z powodu braku wiarygodności. Należy pamiętać, że każde uruchomienie komputera, powoduje modyfikacje na jego dysku twardym. W takiej sytuacji przeprowadzona analiza dysku nie może stanowić pełnoprawnego dowodu w postępowaniu sądowym.
  3. Sklonowanie nośników informacji z dysku twardego komputera metodą programową lub sprzętową. Klonowanie danych metodą programową wymusza stosowanie blokera w celu zabezpieczenia danych które na nich się znajdują. Uruchomienie komputera bez pomocy blokera powoduje naruszenie integralności zabezpieczonego urządzenia i jego zmodyfikowanie. Sprzętowe blokady dysków wymuszają pracę dysku twardego w trybie tylko do odczytu i tym samym uniemożliwiają zapis jakichkolwiek danych na zabezpieczonym do badania dysku twardym.
  4. Przeprowadzenie na klonie danych ich szczegółowej analizy zgodnie z zapytaniem zleceniodawcy stosując w tym celu specjalistyczne urządzenia i programy, które uniemożliwiają modyfikację danych na zabezpieczonym do analizy nośniku danych. Analiza danych musi zostać przeprowadzona z dużą rzetelnością, starannością przy zachowaniu zasad, procedur stosowanych zgodnie z zasadami informatyki śledczej oraz łańcuchem dowodowym, który ma swój początek w momencie zabezpieczania urządzenia, a kończy się w chwili gdy biegły obroni swoją opinię na rozprawie sądowej.
  5. Opisanie z wysoką starannością całej procedury klonowania i pełnej analizy kopii komputerowego, cyfrowego czy elektronicznego nośnika danych uzyskanych z zarekwirowanego urządzenia zawierającego materiał dowodowy oraz umieszczenie pod przedmiotową kartą opisu odpowiednich podpisów i pieczęci- w przypadku braku odpowiedniego, rzetelnego czy pełnego opisu procedury klonowania czy analizy kopia nośnika danych jest bezwartościowa jako dowód.
  6. Sporządzenie z rzetelnej ekspertyzy wraz z pełnym opisem jej przebiegu i wyniku wyeksportowanego do danej postaci pliku oraz z przedstawieniem pełnych raportów analizy nośników danych z naznaczeniem pozycji i ujawnionych informacji z nośnika danych, które stanowią materiał dowodowy do wydania opinii służącej w procesie sądowym przy równoczesnym oznaczeniu dat utworzenia, modyfikacji jak i ostatniego dostępu do danych stanowiących materiał dowodowy. Należy wyszczególnić dane, które zostały odzyskane po skasowaniu czy sformatowaniu dysku twardego komputera.
  7. Wystawienie opinii zgodnej z zapytaniem zlecającego z przytoczeniem metody i sposobu przeprowadzenia analizy kopii komputerowego, cyfrowego czy elektronicznego nośnika danych.

Zadania specjalistów informatyki śledczej[edytuj | edytuj kod]

  • ustalanie zakresu analizy dowodów elektronicznych oraz przedmiotu poszukiwania
  • właściwe zabezpieczenie kopii danych
  • szczegółowa analiza śladów elektronicznych
  • sporządzenie raportu dotyczącego analizowanych danych

Informatycy śledczy wykorzystywani są najczęściej w przypadkach[edytuj | edytuj kod]

Gdzie specjaliści informatyki śledczej szukają informacji?[edytuj | edytuj kod]

Dane zawarte w systemie
Dane ukryte
Otoczenie komputera
Zasoby internetowe

Przypisy[edytuj | edytuj kod]

  1. Jakub Dzikowski, Uniwersytet Ekonomiczny w Poznaniu: Wyszukiwanie danych osobowych w Internecie dla celów Informatyki Śledczej
  2. 1 [w:] Rodney McKemmish, When is Digital Evidence Forencically Sound?, „Advances in digital forensics IV. Selected papers based on the presentations at the 4th annual IFIP WG 11.9 conference on digital forensics”, Kyoto, Japonia 2008.
  3. W Polityce - Informatyka Śledcza w rozkwicie
  4. Fakt.pl Co jeszcze ukrywają rodzice Madzi? Ktoś sczyścił dane z komputera rodziców Madzi

Zobacz też[edytuj | edytuj kod]

Uwarunkowania prawne dotyczące dowodów w postaci elektronicznej z polskiego prawa:

  • Kodeks pracy: Art.52.§1-3 Art.114 Art.115 Art.116 Art.119 Art.114. Art.122 Art.267.§1-4 Art.268.§1-4 Art.268a.§1-3 Art.287.§1-3
  • Ustawa o zwalczaniu nieuczciwej konkurencji
  • Kodeks postępowania cywilnego: Art.227 Art.278 Art.305 Art.227 Art.307.§1-3 Art.308.§1-2 Art.309.

Linki zewnętrzne[edytuj | edytuj kod]