Grunnleggende digitaltekniske metoder

Gullregelen innen digital etterforskning er uforanderlighet: Det opprinnelige beviset må aldri endres. Enhver endring, uansett hvor liten den er, kan svekke bevisets integritet og mulighet for å bli godkjent som bevis.

Arbeid alltid med kopier av dataene. Det innebærer å opprette bit-for-bit-kopier av lagringsenheter og hente ut flyktige data uten å endre det aktive systemet mer enn det som er absolutt nødvendig.

Flyktige data er informasjon som bare finnes mens et system kjører, og som går tapt når systemet slås av eller startes på nytt. Eksempler er:

• Systemminne (RAM)
• Prosesser som kjører
• Nettverkstilkoblinger og åpne porter
• Innloggede brukere

Disse dataene må samles inn først, siden de forsvinner raskt. Verktøy brukes til å hente ut denne informasjonen fra det aktive systemet.

Selv om vi ikke skal kjøre kode direkte, er det nyttig å forstå vanlige kommandoer for å identifisere flyktige data:

• netstat -an: Viser aktive nettverkstilkoblinger.
• ps aux: Viser prosesser som kjører.
• who: Viser innloggede brukere.
• ipconfig (Windows) / ifconfig (Linux): Viser konfigurasjonen for nettverksgrensesnitt.

Disse kommandoene gir et øyeblikksbilde av systemets nåværende tilstand.

Ikke-flyktige data bevares selv etter at et system er slått av. Dette gjelder først og fremst data som er lagret på harddisker, SSD-er, USB-stasjoner og lignende.

For å sikre disse bevisene opprettes et rettsmedisinsk diskbilde (en bit-for-bit-kopi) av hele lagringsenheten. Dette bildet omfatter ikke bare aktive filer, men også slettede filer, ikke-allokert plass og metadata for filsystemet.

Etter at digitale bevis er samlet inn, enten de er flyktige eller ikke-flyktige, må integriteten verifiseres. Dette gjøres ved hjelp av kryptografisk hashing.

En hashfunksjon genererer en unik streng med fast lengde (et «fingeravtrykk») fra en datablokk. Hvis bare én bit endres i de opprinnelige dataene, blir hashverdien helt annerledes.

Beregn hashen for originalbeviset og kopien. Hvis de er like, har De bevist at kopien er identisk med originalen og ikke har blitt manipulert.

Det er avgjørende å opprettholde en beviskjede for å sikre at bevis kan godtas i rettslige prosesser. Dette er en detaljert, kronologisk oversikt over hvem som har hatt tilgang til beviset, når de hadde tilgang, og hvilket formål tilgangen hadde.

Enhver overføring, undersøkelse eller lagring av beviset må dokumenteres nøyaktig. Dette viser at beviset er beskyttet mot uautorisert tilgang eller endring.

Ved innsamling av digitale bevis:

• Isoler systemet: Koble det fra nettverkene for å hindre ytterligere kompromittering eller datatap.
• Dokumenter alt: Ta bilder og notater, og loggfør alle handlinger.
• Bruk skriveblokkere: Maskinvare- eller programvareverktøy som hindrer skriving til den opprinnelige bevisstasjonen.
• Prioriter: Samle inn flyktige data før ikke-flyktige data.
• Verifiser: Bruk alltid hashing for å sikre integriteten til kopiene.

Godt jobbet! I denne leksjonen har vi gjennomgått grunnleggende teknikker for innsamling og sikring av digitale bevis. De har lært om:

• Betydningen av uforanderlighet og å arbeide med kopier.
• Prioritering av innsamling av flyktige data.
• Oppretting av rettsmedisinske diskbilder av ikke-flyktige data.
• Bruk av hashing for å verifisere bevisintegritet.
• Opprettholdelse av en streng beviskjede.

Disse teknikkene er avgjørende for effektiv hendelseshåndtering og etterforskning.