Rekkefølge for flyktighet og innhenting av bevis

Digital etterforskning er bruk av vitenskapelige metoder for å samle inn, bevare, analysere og presentere digitale bevis på en måte som gjør dem juridisk tillatelige. Etterforskere rekonstruerer tidslinjer for angrep, identifiserer den grunnleggende årsaken til hendelser og gjenoppretter slettede eller skjulte data. Faget følger strenge prosedyrekrav fordi bevis som håndteres feil – selv rent teknisk – kan avvises i rettslige prosesser. Digital etterforskning bygger bro mellom den tekniske og den juridiske verdenen.

Flyktighetsrekkefølge definerer rekkefølgen digitale bevis skal samles inn i, fra de mest flyktige (forsvinner raskest) til de minst flyktige (bevares lengst). Etterforskere samler alltid inn de mest flyktige dataene først, fordi de går tapt når systemet slås av eller startes på nytt. Innsamling i feil rekkefølge ødelegger bevis som kunne ha blitt sikret. Standarden RFC 3227 angir en bredt anerkjent rekkefølge for flyktighet i etterforskningsprosedyrer.

Innhenting av minne (RAM-innsamling) er et av de mest verdifulle og tidssensitive tiltakene i digital etterforskning. RAM inneholder: prosesser som kjører, og argumentene deres, dekrypterte versjoner av krypterte filer som er i bruk, tabeller over nettverkstilkoblinger, brukerlegitimasjon som operativsystemet har hurtigbufret, krypteringsnøkler i minnet og filløs skadevare som bare finnes i RAM. Minnet må hentes inn mens systemet er slått på – en omstart eller avslutning ødelegger disse bevisene fullstendig. Verktøy omfatter Magnet RAM Capture, WinPmem og LiME (for Linux).

Diskavbildning oppretter en bit-for-bit-kopi for digital etterforskning av en lagringsenhet, inkludert alle data, slettede filer, ikke-allokert plass og metadata for filsystemet. For å hindre utilsiktede endringer i de opprinnelige bevisene kobles en skriveblokker mellom bevisdisken og arbeidsstasjonen for digital etterforskning – den slipper gjennom lesekommandoer, men blokkerer alle skrivekommandoer. Dette sikrer at de opprinnelige bevisene ikke endres under innsamlingen, slik at integriteten bevares for rettslige prosesser.

Kryptografisk hashing er grunnleggende for integriteten til bevis i digital etterforskning. Alle bevis må hashes ved innsamling med SHA-256 (eller MD5 av hensyn til eldre kompatibilitet). Hashen registreres i dokumentasjonen for beviskjeden. Hver gang bevisene åpnes eller overføres, beregnes hashen på nytt – hvis hashen samsvarer med den opprinnelige, er bevisene ikke endret. Domstolene krever dette integritetsbeviset for å godta digitale bevis. Et avvik mellom hashverdiene betyr at bevisene er endret og kan bli avvist.

Digital etterforskning i drift (online) samler inn bevis fra et system som kjører – og sikrer flyktige data før systemet slås av. Dette er nødvendig når det kreves analyse av flyktig minne, når systemet ikke kan tas offline, eller når filløs skadevare ikke ville vært synlig på disken. Digital etterforskning uten drift (offline) analyserer avslåtte systemer ved hjelp av diskavbildninger, noe som er sikrere og mer kontrollert. Moderne hendelser krever ofte en kombinasjon: sikre flyktige data mens systemet kjører, og slå deretter av systemet og ta et bilde av disken for grundigere analyse.

Under en aktiv hendelse som berører flere systemer må etterforskere utføre triage – prioritere hvilke systemer som skal undersøkes først. Triage-kriterier omfatter: systemer med høyest tilgangsnivå (domenekontrollere og databaser), systemer som mest sannsynlig inneholder mekanismer for at angriperen opprettholder tilgang, systemer med den nyeste ondsinnede aktiviteten og systemer med størst virksomhetsmessig konsekvens. Innsamling på triage-nivå bruker EDR-telemetri og målrettet innsamling av artefakter i stedet for full diskavbildning, slik at mange systemer kan analyseres raskt samtidig.

Packet capture (PCAP)**-filer registrerer all nettverkstrafikk på pakkenivå. Under en hendelse kan PCAP-bevis avdekke: legitimasjon sendt i klartekst, kommandoer sendt til kompromitterte systemer via C2-kanaler, data som eksfiltreres (store utgående overføringer), lateral forflytning (mønstre i interne tilkoblinger) og kilder til nedlasting av skadevare. PCAP hentes inn ved hjelp av Wireshark, tcpdump eller nettverkstapper. Innhenting av PCAP krever autorisasjon, ettersom all trafikk på et nettverkssegment fanges opp og dette potensielt kan omfatte fortrolig kommunikasjon.

Skymiljøer byr på unike utfordringer for digital etterforskning. Fysisk tilgang til den underliggende maskinvaren er ikke tilgjengelig – skyleverandørene kontrollerer hypervisorlaget. Diskavbildninger av virtuelle maskiner kan tas som øyeblikksbilder via sky-API-er. Loggdata (CloudTrail, Azure Monitor) er den viktigste beviskilden ved hendelser i skyen. Innhenting av minne er begrenset til teknikker som støttes av skyleverandøren eller introspeksjon av virtuelle maskiner. Bevisenes jurisdiksjon kan være komplisert hvis skyserverne befinner seg i andre land enn der hendelsen fant sted. Det er avgjørende å forstå disse begrensningene ved undersøkelser av hendelser i skyen.

Etterforskere bruker spesialiserte verktøy som er utviklet for å håndtere bevis på korrekt måte. Autopsy (åpen kildekode) og FTK (Forensic Toolkit) (kommersielt) analyserer diskavbildninger og trekker ut artefakter. Volatility analyserer minnedumper for å trekke ut prosesser, nettverkstilkoblinger og skadevareartefakter. Magnet AXIOM håndterer både digital etterforskning og mobil etterforskning. Wireshark analyserer PCAP-filer. X-Ways Forensics er en lett, men kraftig kommersiell verktøypakke. Etterforskere må bruke validerte verktøy for å sikre bevisenes integritet.

Etterforskningsberedskap betyr at en organisasjon har iverksatt tiltak før en hendelse, slik at digitale bevis kan samles inn effektivt og godtas juridisk. Komponentene omfatter: omfattende logging konfigurert på alle kritiske systemer, lang nok oppbevaring av logger til å støtte undersøkelser (90–365 dager), dokumenterte prosedyrer for beishåndtering, opplærte førstelinjerespondere som vet at de ikke må forstyrre bevis, etterforskningsverktøy som er forhåndsplassert eller raskt tilgjengelige, og juridiske tillatelser som er avklart på forhånd (for eksempel ansattes samtykke til retningslinjer for overvåking).

I denne leksjonen har De lært at: flyktighetsrekkefølgen krever at RAM og prosesser som kjører, sikres først, fordi de går tapt når systemet slås av, skriveblokkere hindrer alle endringer i de opprinnelige bevisene under diskavbildning, og hashing med SHA-256 ved innsamling og verifisering sikrer bevisenes integritet slik at de kan godtas juridisk. Deretter skal vi se nærmere på beviskjeden og juridisk godkjenning av bevis.