Podstawy informatyki śledczej i łańcuch dowodowy

Informatyka śledcza to metodyczne pozyskiwanie, zabezpieczanie i analiza dowodów cyfrowych w taki sposób, aby ustalenia były możliwe do obrony podczas kontroli, także w sądzie.

Nie chodzi wyłącznie o odzyskiwanie danych. Kluczowym wymaganiem jest możliwość obrony ustaleń: każde działanie musi być udokumentowane, powtarzalne i bezstronne.

• Identyfikacja istotnych źródeł dowodów
• Zabezpieczenie bez modyfikacji
• Analiza z użyciem zweryfikowanych metod
• Prezentacja w jasnych, możliwych do odtworzenia raportach

Podczas reagowania na aktywny incydent należy zbierać dowody od źródła najbardziej ulotnego do najmniej ulotnego. Dane, które znikają najszybciej, trzeba przechwycić w pierwszej kolejności.

• Rejestry procesora i pamięć podręczna
• Tablica routingu, pamięć podręczna ARP, lista procesów, połączenia sieciowe
• RAM (pamięć)
• Tymczasowe systemy plików
• Dysk
• Zdalne rejestrowanie i nośniki archiwalne

RFC 3227 formalizuje tę zasadę. Zbyt wczesne pobranie obrazu dysku oznacza bezpowrotną utratę artefaktów znajdujących się w aktywnej pamięci RAM.

Łańcuch dowodowy to udokumentowany chronologiczny zapis wskazujący, kto zajmował się dowodem, kiedy i dlaczego to robił oraz jakie czynności na nim wykonał.

Pojedyncza luka może sprawić, że dowód stanie się niedopuszczalny. Każde przekazanie musi być rejestrowane.

• Kto zebrał i odebrał przedmiot
• Co stanowi przedmiot (numer seryjny, skrót, opis)
• Kiedy nastąpiło każde przekazanie
• Gdzie przedmiot był przechowywany
• Dlaczego zmieniła się osoba odpowiedzialna za dowód

Skróty kryptograficzne potwierdzają, że dowód nie został zmieniony. Skrót należy obliczyć podczas pozyskiwania, a następnie obliczyć go ponownie; zgodne wartości potwierdzają integralność.

Należy używać SHA-256 jako współczesnego standardu. MD5 i SHA-1 nadal występują w starszych narzędziach, ale są podatne na kolizje; wiele laboratoriów zapisuje oba skróty w celu wzajemnej weryfikacji.

Bloker zapisu znajduje się między śledczym a nośnikiem zawierającym dowody, umożliwiając odczyt i fizycznie lub logicznie blokując zapis. Gwarantuje to, że oryginał nigdy nie zostanie zmodyfikowany podczas pozyskiwania.

• Sprzętowe blokery zapisu to urządzenia montowane szeregowo, preferowane w postępowaniach sądowych
• Programowe blokery zapisu ustawiają system operacyjny tak, aby montował nośnik tylko do odczytu

Nawet zwykłe zamontowanie dysku może zaktualizować znaczniki czasu dostępu, dlatego bloker jest obowiązkowy w przypadku oryginalnych nośników.

Złota zasada brzmi: analizuj zweryfikowaną kopię, zachowaj oryginał. Oryginał należy umieścić w magazynie dowodów i dotykać go w możliwie najmniejszym stopniu.

Najlepszą praktyką jest utworzenie co najmniej dwóch kopii: jednego obrazu roboczego do analizy oraz jednego archiwalnego wzorca, którego nie należy modyfikować. Obie kopie muszą mieć skróty zgodne ze źródłem.

Notatki sporządzane na bieżąco również są dowodem. Należy rejestrować działania w trakcie ich wykonywania, a nie odtwarzać ich później z pamięci.

• Należy oznaczyć czasem każdą czynność (warto używać UTC, aby uniknąć niejednoznaczności).
• Należy sfotografować miejsce zdarzenia i stan urządzenia.
• Należy zanotować nazwy i wersje narzędzi.
• Należy zapisać wszelkie anomalie lub błędy.

Jeśli coś nie zostało zapisane, w sądzie zasadniczo uznaje się, że do tego nie doszło.

Przed wykonaniem jakiejkolwiek czynności należy potwierdzić umocowanie prawne: nakaz, zgodę, wewnętrzne upoważnienie lub obowiązujące przepisy. Przekroczenie zakresu może podważyć całą sprawę i narazić śledczego na odpowiedzialność.

Informatyka śledcza podlega jurysdykcji. Dane transgraniczne, oczekiwania pracowników dotyczące prywatności oraz przepisy o ochronie danych (GDPR, KVKK) ograniczają zarówno zakres danych, które można gromadzić, jak i sposób ich pozyskiwania.

Ustalenia muszą być powtarzalne: inny biegły, używając zweryfikowanych narzędzi i pracując na tych samych dowodach, powinien dojść do tego samego wniosku.

Dlatego laboratoria używają sprawdzonych narzędzi kontrolowanych wersjami (w miarę możliwości przetestowanych przez NIST CFTT) i dokumentują ich wersje. Niestandardowe lub niezweryfikowane skrypty podważają możliwość obrony ustaleń.

Dedykowana, odizolowana stacja robocza zapobiega zanieczyszczeniu krzyżowemu i przypadkowemu wyciekowi dowodów do sieci.

• Odłączona od sieci lub ściśle chroniona zaporą sieciową
• Sterylizowane (wymazane + zweryfikowane) nośniki docelowe na potrzeby obrazów
• Zweryfikowany zestaw narzędzi (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Dostęp rejestrowany

Integralność musi być możliwa do udowodnienia nie tylko podczas pozyskiwania, lecz przez cały okres przechowywania. Należy ponownie obliczać hash okresowo i po każdym transferze, porównując go z wartością bazową z pozyskiwania.

• Plomby zabezpieczające przed naruszeniem na nośnikach fizycznych
• Przechowywanie dowodów z kontrolą dostępu i rejestrowaniem operacji
• Zarejestrowany hash przy każdym przekazaniu w łańcuchu dowodowym

Jeśli późniejszy hash różni się od oryginalnego, materiał dowodowy uznaje się za naruszony, a jego ustalenia są kwestionowane.

Proszę sprawdzić zrozumienie kolejności pozyskiwania.

Omówiono podstawy rzetelnej informatyki śledczej:

• Kolejność ulotności określa kolejność pozyskiwania
• Łańcuch dowodowy dokumentuje każde przekazanie
• Haszowanie (SHA-256) potwierdza integralność
• Blokady zapisu chronią oryginały
• Zawsze należy pracować na zweryfikowanych kopiach
• Dokumentacja, zakres prawny i powtarzalność zapewniają dopuszczalność dowodów

Następnie: przełożenie tych zasad na tworzenie rzeczywistych obrazów dysków i odzyskiwanie artefaktów.