Grundlæggende digitaltekniske metoder

Den gyldne regel i digital efterforskning er uforanderlighed: Du må aldrig ændre de oprindelige beviser. Enhver ændring, uanset hvor lille den er, kan kompromittere bevisernes integritet og mulighed for at blive godkendt som bevis.

Arbejd altid med kopier af dataene. Det betyder, at du opretter bit-for-bit-kopier af lagringsenheder og indsamler flygtige data uden at ændre det aktive system mere end absolut nødvendigt.

Flygtige data er oplysninger, der kun findes, mens et system kører, og som går tabt, når systemet slukkes eller genstartes. Eksempler omfatter:

• Systemhukommelse (RAM)
• Kørende processer
• Netværksforbindelser og åbne porte
• Brugere, der er logget på

Disse data skal indsamles først, fordi de hurtigt går tabt. Værktøjer bruges til at udtrække oplysningerne fra det aktive system.

Selvom vi ikke kører kode direkte, hjælper kendskab til almindelige kommandoer med at identificere flygtige data:

• netstat -an: Viser aktive netværksforbindelser.
• ps aux: Viser en liste over kørende processer.
• who: Viser brugere, der er logget på.
• ipconfig (Windows) / ifconfig (Linux): Viser konfigurationen af netværksgrænseflader.

Disse kommandoer giver et øjebliksbillede af systemets aktuelle tilstand.

Ikke-flygtige data bevares, selv efter at et system er slukket. Det henviser primært til data, der er gemt på harddiske, SSD'er, USB-drev osv.

For at bevare disse beviser oprettes et retsmedicinsk diskbillede (en bit-for-bit-kopi) af hele lagringsenheden. Billedet omfatter ikke kun aktive filer, men også slettede filer, ikke-allokeret plads og filsystemets metadata.

Efter indsamling af digitale beviser (flygtige eller ikke-flygtige) skal deres integritet kontrolleres. Det gøres ved hjælp af kryptografisk hashing.

En hashfunktion genererer en unik streng med fast længde (et »fingeraftryk«) ud fra en blok data. Hvis blot en enkelt bit ændres i de oprindelige data, bliver hashværdien helt anderledes.

Du beregner hashværdien for de oprindelige beviser og deres kopi. Hvis de stemmer overens, har du bevist, at kopien er identisk med originalen og ikke er blevet manipuleret.

Det er afgørende at opretholde en beviskæde for at sikre, at beviser kan godkendes i retlige procedurer. Det er en detaljeret, kronologisk registrering af, hvem der har haft adgang til beviserne, hvornår og med hvilket formål.

Enhver overførsel, undersøgelse eller lagringshændelse, der vedrører beviserne, skal dokumenteres præcist. Det beviser, at beviserne er blevet beskyttet mod uautoriseret adgang eller ændringer.

Når du indsamler digitale beviser:

• Isolér systemet: Afbryd forbindelsen til netværk for at forhindre yderligere kompromittering eller datatab.
• Dokumentér alt: Tag billeder og noter, og log alle handlinger.
• Brug skriveblokering: Hardware- eller softwareværktøjer, der forhindrer skrivninger til det oprindelige bevisdrev.
• Prioritér: Indsaml flygtige data før ikke-flygtige data.
• Kontrollér: Brug altid hashing for at sikre kopiernes integritet.

Godt arbejde! I denne lektion gennemgik vi de grundlæggende teknikker til indsamling og bevaring af digitale beviser. Du lærte om:

• Betydningen af uforanderlighed og arbejde med kopier.
• Prioritering af indsamling af flygtige data.
• Oprettelse af retsmedicinske diskbilleder af ikke-flygtige data.
• Brug af hashing til at kontrollere bevisernes integritet.
• Opretholdelse af en streng beviskæde.

Disse teknikker er afgørende for enhver effektiv håndtering og efterforskning af hændelser.