Enron nezkrachoval jen tak. Zhroutil se zevnitř. Když se energetický gigant v prosinci 2001 zhroutil, stovky pracovníků zůstaly bez práce, zatímco se zdálo, že manažeři společnosti odcházejí s kapsami plnými peněz. Americký kongres vycítil, že něco není v pořádku. Rozjeli vyšetřování, které se opíralo nejen o svědecké výpovědi nebo zničené dokumenty. Bylo to řízeno daty. Specializovaný tým digitálních detektivů byl nasazen, aby prohledal stovky počítačů zaměstnanců. Použili počítačovou forenzní analýzu k rekonstrukci místa činu v křemíku a kódu.
Tato oblast slouží k vyhledávání, uchovávání a analýze digitálních informací v rámci soudního řízení. Cíl je jednoduchý: najít důkazy. Ale proces realizace je složitý. Zatímco tradiční vyšetřovatelé hledají otisky prstů a kapky krve, digitální detektivové hledají metadata a smazané fragmenty. Principy jsou podobné. Realita je radikálně odlišná.
Přemýšlejte o tom: pouhým otevřením souboru se změní. Toto je základní vlastnost fungování operačních systémů. Počítač zapíše datum a čas přístupu přímo do atributů souboru. Pokud detektiv vyjme pevný disk a začne jej zkoumat, pozmění důkazy. Kontaminuje místo činu. Právníci to vědí. Na tuto chvíli čekají u soudu, aby zpochybnili spolehlivost důkazů. Pokud nemůžete prokázat, že s daty nebylo manipulováno, nemají žádnou hodnotu.
To vyvolává nepříjemnou otázku. Proč byste vůbec měli věřit digitálním důkazům? Skeptici tvrdí, že protože počítačová data lze tak snadno změnit, neměla by být nikdy u soudu připuštěna jako důkaz. Jsou křehké. Jsou proměnlivé. Mnoho zemí však jejich používání stále umožňuje. Zatím. Pokud se vysoce sledovaný případ zhroutí, protože soudce shledá digitální důkazy nespolehlivé, precedens by mohl vše změnit. Dveře digitální kriminalistiky mohou být zcela zavřené.
Sázky rostou. Počítače jsou stále rychlejší. Pevné disky se rozšiřují z megabajtů na terabajty. V počátcích tohoto odvětví mohl jeden vyšetřovatel ručně zkontrolovat každý soubor na počítači. Datové úložiště bylo malé. Úkol byl splnitelný. Dnes? Je to noční můra. Prohledávání terabajtů dat vyžaduje nové nástroje, nové strategie a značné zdroje. Vyšetřovatelé již nemohou jednoduše otevírat složky. Potřebují specializovaný software k filtrování šumu z požadovaného signálu.
Co se tedy během digitálního vyšetřování vlastně děje? Jak odborníci najdou pravdu v moři jedniček a nul? A proč se někteří bezpečnostní experti aktivně snaží tyto systémy hacknout?
Argumenty z antikriminologie
Vincent Liu je víc než jen kritik. Je to praktik. Specialista na počítačovou bezpečnost Liu kdysi vyvinul anti-forenzní aplikace. Neudělal to proto, aby pomohl zločincům zahladit stopy. Neudělal to proto, aby ztížil život strážcům zákona. Udělal to, aby prokázal svůj názor.
Počítačová data jsou nespolehlivá. Neměly by být použity jako důkaz u soudu.
Liuova práce zdůrazňuje kritickou zranitelnost. Počítačové forenzní nástroje nejsou neomylné. Mají mezery. Mají předpoklady. Pokud se na ně slepě spoléháte, budujete firmu na vratkých základech. Liu tvrdí, že současné spoléhání se na počítačovou forenzní analýzu jako na zdroj pravdy je chyba. Nástroje lze obejít. Údaje lze změnit. Závěry vyvozené z těchto údajů mohou být nesprávné.
To není jen teorie. Toto je praktický problém, který se týká každého soudního řízení zahrnujícího digitální důkazy. Když detektiv tvrdí, že našel na pevném disku „kuřáckou pistoli“, musíte vědět, jak na to přišel. Byl zachován spotřebitelský řetězec? Byly zohledněny změny v metadatech? Použili jste nástroje, které zavádějí své vlastní chyby?
Tato oblast se musí rozvíjet. Nemůže zůstat statický. Jak objemy úložiště rostou a šifrování se stává složitějším, staré metody se hroutí. Vyšetřovatelé pronikají hlouběji do souborových systémů, hledají stíny smazaných dat a obnovují kusy, o kterých si uživatelé mysleli, že jsou navždy ztraceny. Ale tohle jsou závody ve zbrojení. Jak se forenzní věda zdokonaluje, zlepšují se i možnosti utajování.
Co přesně vyšetřovatelé hledají? Hledají časová razítka. Hledají klíče registru. Hledají online časopisy
Vývoj pravidel digitální evidence
Počítačová kriminalistika je stále mladý obor. V raných fázích zacházely soudy s daty stejně jako s papírovými dokumenty. To se změnilo, když si rozhodčí uvědomili křehkost digitálních souborů. Mohou se poškodit. Zničit. Změna beze stopy.
Detektivové potřebovali nástroje, které nezměnily původní data. Spojili síly s počítačovými specialisty. Společně vyvinuli postupy. Tyto postupy se staly základem moderní počítačové kriminalistiky.
Oprávnění k prohlídce a omezení
Detektivové obvykle potřebují povolení k prohledání počítače podezřelého. Toto není neomezené rozlišení. Dokument přesně ukazuje, kde hledat. Je určeno, co přesně je považováno za důkaz. Vágní formulace jsou odmítány. Soudci vyžadují přesnost.
Zvažte tento scénář. Detektiv získá povolení k prohlídce notebooku. Přichází do domu podezřelého. V rohu vidí stolní počítač. Nemůžeš se toho dotknout. V zatykači to nebylo. Pokud nemá nárok na výjimku, zůstává toto zařízení mimo dosah.
Vyšetřovatelé se nejprve důkladně připraví. Podezřelého zkoumají. Zužte vyhledávání. Tato specifika šetří čas později.
Co určuje délku vyšetřování?
Žádné dva případy nejsou stejné. Některé jsou hotové za týden. Jiné se táhnou měsíce. Několik proměnných natahuje časovou osu.
- Kvalifikace detektivů. Zkušení specialisté jednají rychleji.
- Počet zařízení. Jedno zařízení? Rychle. Deset? pomaleji.
- Kapacita úložiště. Analýza terabajtů dat nějakou dobu trvá. Flash disky, CD, DVD – to vše se sčítá.
- Taktika pro skrývání informací. Smazal podezřelý soubory? Skryli jste složky?
- Šifrování. Soubory chráněné heslem výrazně zpomalují práci vyšetřovatelů.
Doktrína otevřené recenze
Co se stane, když si detektiv při vyřizování zatykače všimne něčeho usvědčujícího? Platí doktrína otevřeného přezkumu.
Pokud byl podezřelý stolní počítač zapnutý a na obrazovce se zobrazily důkazy o trestném činu, detektiv ho mohl zabavit. I když původní objednávka byla pouze na notebook. Důkazy jsou na očích.
Ale je tu nuance. Zařízení musí být aktivní. Pokud je obrazovka vypnutá, detektiv ji nesmí zapnout kvůli kontrole. Tím by byly porušeny hranice řádu. Nechají ho tedy na pokoji.
Na tomto rozlišení záleží. Definuje hranici mezi zákonným vyhledáváním a vniknutím. To vede vyšetřovatele k opatrnosti. Respektujte stav zařízení. Pochopte, že vypnutý počítač je uzavřená místnost, dokud se neprokáže opak.
Hranice mezi přípustnými a nepřípustnými důkazy často závisí na jediném přepínači. Zapnuto nebo vypnuto. Viditelné nebo skryté.
Hrozba anti-forenzních studií
Myslíte si, že smazáním souboru dojde k jeho úplnému vymazání? To je špatně. Váš počítač jednoduše označí tento sektor jako prázdný. Data tam zůstávají jako duch, dokud je nepřepíše něco nového. To je důvod, proč jsou nástroje pro obnovu tak dobré při obnově smazaných souborů. Někteří zločinci ale na standardní odstranění nespoléhají. Používají anti-forenzní.
Jsou to techniky určené k maření vyšetřování. Díky nim je těžší najít důkazy, hůře je číst nebo je nemožné je použít u soudu. Když se hrabete v systému podezřelého, nebojujete jen s časem. Bojujete s aktivním odporem.
Proč jsou z případu vyloučeny důkazy
Judd Robbins, přední odborník v této oblasti, rozděluje forenzní vědecký postup do strnulých kroků. Slečna jedna a celá věc se rozpadne. Podívejme se na mechaniku.
1. Systémová izolace
Nejprve odpojte kabel. Pokud je stroj zapojený, odpojte jej. Musíte zastavit vzdálené mazání, cloudovou synchronizaci nebo živé zásahy. Zajistěte bezpečnost zařízení. Žádné neoprávněné ruce. Pokud se zde přeruší řetězec úschovy důkazů, všechny následné akce se stanou spornými.
2. Klonování, nikoli interakce
Nikdy nepracujte s originálním diskem. Přístup k souboru změní jeho metadata. Časová razítka jsou posunuta. Fragmenty se pohybují. Vytvoříte bit po bitu kopii každého zúčastněného úložného zařízení. Pevné disky. SSD. Flash disky. Vnější kryty. Interagujete pouze s klonem. Originál zůstává neporušený v evidenčním trezoru.
3. Hledání skrytého
Soubory jen tak nezmizí. Skrývají se. Vyšetřovatelé používají nástroje k:
– Obnova smazaných dat z nepřiděleného místa (tato oblast „nepoužitého“ disku často obsahuje fragmenty starých souborů).
– Identifikace skrytých souborů, které se nezobrazují ve standardním rozhraní OS.
– Dešifrování heslem chráněných nebo šifrovaných dat.
4. Vše zdokumentovat
Tady umírá většina věcí. Potřebujete papírový řetěz. Každý provedený příkaz. Každý použitý nástroj. Každý nalezený soubor. Dokumentujete fyzické uspořádání systému. Všimnete si, které soubory byly zašifrovány. Před zahájením práce zaznamenáte stav disku. Do soudního procesu mohou uplynout roky. Bez tohoto logu soudce vaše zjištění nepřijme.
5. Stůjte za svým
Podáním zprávy práce nekončí. Možná budete muset svědčit. Jako soudní znalec vysvětlujete, jak jste získal důkazy. Obhajujete své metody. Postavíte se křížovému výslechu. Pokud byl váš proces nedbalý, důkazy budou zamítnuty.
Zvyšování složitosti
První krok, zabezpečení systému, je nesmlouvavý. Ale také to nikdy nebylo tak složité. V prvních dnech jste vytáhli PC a hromadu disket. Jen. Ovladatelné.
Dnes? Čelíte chaosu periferních zařízení. Několik notebooků. Externí disky s vysokou kapacitou. Chytrá zařízení. webové servery. Zařízení internetu věcí. Útočná plocha explodovala. Každé zařízení je potenciálním trezorem. Každý trezor je potenciální minové pole.
Výstup anti-forenzních studií
Zločinci to vědí. Přizpůsobili se. Používají software speciálně navržený ke zmatení vyšetřovatelů. Anti-forenzní nástroje jsou zaměřeny na:
– Maskování : Aby data vypadala jako šum.
– Erase : Bezpečně vymaže data, aby je nebylo možné obnovit.
– Putting : Vkládání falešných důkazů k oklamání vyšetřování.
– Překážka : Šifrování dat pomocí klíčů, které nelze obnovit.
Nejsou to jen nástroje na ochranu soukromí. Toto je zbraň proti odhalení pravdy. Detektivové musí vědět, jak je odhalit. Jak je neutralizovat. Jak je obejít.
Realita zotavení
Když kliknete na “smazat”, neodstraníte soubor. Odstraňujete ukazatel. Skutečné bity zůstávají na svém místě. Se správným softwarem je můžete získat zpět. Ovšem pouze v případě, že nebyly přepsány.
Antiforenzní nástroje tento proces komplikují. Mohou vyplnit volné místo náhodnými daty. Mohou používat složité šifrování. Mohou fragmentovat soubory na více jednotkách, aby je skryly.
Cílem není jen najít to, co tam je. Cílem je dokázat, co se stalo. A ve věku digitálního odporu je těžší tento důkaz poskytnout.
Zakrývání stop: jak anti-forenzní komplikuje digitální vyšetřování
Forenzní je nenávidí. Anti-forenzní nástroje. Jsou navrženy pro jeden účel: znemožnit nebo neuvěřitelně ztížit obnovu dat během vyšetřování. Tyto programy, zařízení a metody aktivně zasahují do získávání digitálních důkazů.
Metody jsou různé. Některé programy manipulují se záhlavím souborů. Tyto hlavičky jsou pro lidi neviditelné, ale pro operační systém jsou životně důležité. Určují typ souboru. Přejmenovat MP3 na .gif? Počítač bude stále vidět titul MP3. Ale anti-forenzní nástroje mohou tyto titulky změnit. Systém si myslí, že se dívá na GIF. Detektivové hledající zvukové soubory mohou jednoduše přehlédnout skryté důkazy.
Skrytí dat ve volném prostoru (Slack Space)
Pak je tu volný prostor. Soubory často na konci zanechávají nevyužité místo. Specializované nástroje dokážou rozřezat soubor na fragmenty a každý kousek schovat do volného prostoru jiných souborů. Získání těchto dat vyžaduje více než jen pohled. Musíte najít každý fragment a znovu je sestavit. Je to zdlouhavý, složitý proces.
Dalším cílem jsou Spustitelné soubory. Packers mohou vložit spustitelný soubor do jiného typu souboru. Binders mohou slepit více spustitelných souborů dohromady. Toto zmatení ztěžuje izolování malwaru nebo programu.
Šifrování a nahrazování metadat
Šifrování je nejjednodušší štít. Algoritmus mění data v nesmysly. Odemkne je pouze klíč. Vyšetřovatelé musí prolomit algoritmus bez klíče. Lepší algoritmy znamenají delší čekání.
Metadata jsou také zranitelná. Sledují data vytvoření, časy úprav a protokoly přístupu. Metadata jsou obvykle neměnná a lze je přepsat. Představte si soubor, který tvrdí, že byl vytvořen v roce 2026 a naposledy byl otevřen v roce 1920. Pokud jsou metadata falešná, spolehlivost důkazů se zhroutí. Stává se obtížnějším ho postavit před soud.
Sebedestruktivní a kontravyšetřovací nástroje
Některé aplikace vymažou data, pokud zjistí neoprávněný přístup. Jiné jsou navrženy tak, aby blokovaly nebo napadaly samotný forenzní software. Pokud podezřelý ví, jak kriminalistika funguje, může si proti tomu postavit obranu. Vyšetřovatelé musí používat extrémní opatrnost a kreativitu, aby se těmto nástrahám vyhnuli.
Právní problém
proč to dělat? Někteří to dělají, aby dokázali, že digitální data jsou nespolehlivá. Pokud nemůžete ověřit, kdy byl soubor vytvořen nebo zda vůbec existoval, můžete mu věřit? Toto je platný právní problém. Důkazní standardy se v jednotlivých zemích liší. Někteří jsou ochotni přijmout digitální důkazy. Jiné vyžadují přísnější důkazy.
Co přesně jsou tyto normy? To se dozvíme v další části.
Prokazování digitálního řetězce úschovy důkazů
Nesprávná obsluha zařízení může zničit celý podnik. Přesně taková je krutá realita, která čeká vyšetřovatele ve Spojených státech. Pokyny amerického ministerstva spravedlnosti týkající se vyhledávání a zabavování počítačů a získávání elektronických důkazů při vyšetřování trestných činů stanoví jasné hranice. Kdy se mohou vyšetřovatelé zařízení dotknout? Co zůstává u soudu přípustné? Pravidla týkající se doslechu a přípustnosti nejsou jen akademická cvičení. Jsou to druh „strážců brány“.
Podívejme se na samotný proces stažení. Pokud je systém pouze úložištěm dat, vyšetřovatelé obvykle nemohou zabavit fyzický kryt zařízení. Jejich možnosti jsou omezeny tím, co mohou vidět na místě činu. Pokud však samotné zařízení je kriminálním nástrojem – například ukradený notebook – mohou zabavit i samotné zařízení. Je odvezen do laboratoře. Na tomto rozlišení záleží. Definuje rozsah vyšetřování předtím, než byl analyzován byť jen jeden bit dat.
Aby údaje soud akceptoval, musí je obžaloba ověřit. Je to dřina. Musí být prokázány dvě skutečnosti: data byla získána z počítače podezřelého a od svého vytvoření nebyla změněna. Falšování dat není obtížné. Soudy to vědí. Neodhazují automaticky digitální důkazy jen proto, že by s nimi mohlo být manipulováno. K jejich odmítnutí je vyžadován důkaz o zásahu. Důkazní břemeno se přesouvá na obranu, aby prokázala, že údaje byly pozměněny. Pokud to obhajoba nemůže prokázat, důkazy platí.
Pak přichází překážka pravidla z doslechu. Důkazy z doslechu jsou prohlášení učiněné mimo soud, které má prokázat pravdivost prohlášení. Obvykle takové důkazy nejsou povoleny. Digitální protokoly událostí? Obecně ne důkazy z doslechu. Počítač pouze zaznamenává události. Ale e-mail je jiný. To jsou lidské výroky. O věrohodnosti dopisu musí rozhodnout soud. To se děje případ od případu. Neexistují žádná jednotná obecná pravidla. Pouze soudce váží zdroj.
Přeshraniční sběr dat
Digitální zločiny nerespektují žádné hranice. Zákony uznávají. Tento rozpor vytváří pro vyšetřovatele logistickou noční můru. Co je v jedné zemi závažným trestným činem, může být v jiné zemi legální. Neexistuje jednotný mezinárodní protokol pro shromažďování počítačových důkazů. Toto je roztříštěný právní obraz.
Někteří se to snaží napravit. Země G8 – USA, Kanada, Francie, Německo, Spojené království, Japonsko, Itálie, Rusko – vypracovaly šest obecných pokynů. Jejich zaměření je úzké: zachování integrity důkazů. Nesnaží se harmonizovat zákony. Mluvíme pouze o forenzním procesu. To je začátek. Bez standardizovaných pravidel však zůstávají přeshraniční žádosti pomalé a nejisté. Vyšetřovatelé stále čelí jurisdikční zdi pokaždé, když se pokoušejí vysledovat IP adresu v zámoří.
Sada nástrojů
Forenzní není magie. Jedná se o proces podporovaný specifickými nástroji. Tyto aplikace umožňují odborníkům kopírovat, analyzovat a ověřovat data bez změny původního zdroje. Další část se blíže podívá na software a hardware používaný k přeměně nezpracovaných bitů na fakta připravená k předložení u soudu.
Sada nástrojů pro vyšetřování
Rozpočtová omezení a dostupnost interních odborných znalostí obvykle určují, jaké nástroje policejní oddělení používají. Bez ohledu na rozpočet však základní hardware a software zůstávají do značné míry stejné. Potřebujete způsob, jak „zmrazit“ scénu v digitálním čase.
Software pro zobrazování disků je první linií obrany. Nekopíruje pouze soubory. Zaznamenává celou strukturu pevného disku. Tím je zachován způsob, jakým jsou soubory organizovány a jak spolu souvisí. Pokud zkopírujete pouze viditelná data, ztratíte kontext. Obrázek vystihuje vše.
Pak jsou tu blokátory zápisu. Mohou to být hardwarová zařízení nebo softwarové protokoly. Zajišťují, že když je disk zkopírován bit po bitu, původní data se nikdy nezmění. Některé konfigurace vyžadují odebrání jednotky z počítače podezřelého. Ostatní pracují „za běhu“ (inline). Cíl je stejný: vytvořit dokonalou kopii bez změny jediného bajtu.
Následuje kontrola. Hashovací nástroje generují jedinečné číslo pro data na původním disku. Totéž udělají s kopií. Pokud se hash shoduje, je kopie dokonalou replikou. Pokud se liší, něco se pokazilo. To je u soudu nepostradatelný požadavek.
Smazaná data nezmizí okamžitě. Programy pro obnovu dat hledají značky, které označují „smazání“, ale ještě nepřepsaly samotné bity. Někdy je vrácen celý soubor. Často je roztříštěný. Neúplné soubory se obtížněji analyzují, ale stále mohou sloužit jako důkaz.
Paměť s náhodným přístupem (RAM) je složitější. Je nestálá. Vypněte počítač a data zmizí. Specializovaný software zachytí tuto paměť dříve, než se ztratí. Bez toho budou dočasné protokoly, otevřená připojení a šifrovací klíče navždy pryč.
Ruční vyhledávání není s dnešními objemy úložiště možné. Gigabajty dat zaplní jeden disk. Analytický software tím vším projde. Vyhledává konkrétní obsah. Soubory cookie jsou prioritním cílem. Odhalují zvyky při sledování. Jiné nástroje vyhledávají klíčová slova nebo typy souborů. To je problém hledání jehly v kupce sena, řešený algoritmy.
Přístup k chráněným datům vyžaduje více než jen čtení souborů. Nezbytností je dešifrovací software a hádanky hesel. Hackují nebo obcházejí zabezpečení. Ne všechny metody jsou legální nebo etické, ale jsou součástí arzenálu.
Sledovací řetězec důkazů
Nástroje jsou jen tak dobré, jak dobrý je postup. Vyšetřovatelé musí dodržovat přísné protokoly. Přetrhněte řetěz a obhájce vyhodí důkazy. Argument je jednoduchý: pokud je proces chybný, výsledky jsou nespolehlivé.
Odborníci na boj proti kriminalitě nesouhlasí. Tvrdí, že počítačové důkazy jsou ze své podstaty podezřelé. Jejich postoj je, že padělání je možné bez zanechání stop. Pokud se to prokáže, může být pro soudy obtížné ospravedlnit přijetí digitálních důkazů. Zda tato tvrzení obstojí ve zkoušce času v příštím desetiletí, zůstává otevřenou otázkou.
Mobilní forenzní: Pocket PC
Mobilní telefony jsou v podstatě malé počítače. Drží pokladnici informací. Poskytovatelé forenzních služeb nabízejí zařízení, která kopírují paměť telefonu a generují zprávy. Vytěžují všechno. Textové zprávy. Protokoly hovorů. Vyzváněcí tóny. Fotografie. Video.
Zařízení se připojuje k portu nebo rozhraní v telefonu. Jde to po obrazovce. Čte surovou paměť. Výsledkem je komplexní popis digitálního života telefonu.
Kariérní cesty v digitální forenzní
Je počítačová forenzní smysluplná kariéra? Vyžaduje to kombinaci technických dovedností a investigativní zvědavosti. Tato oblast je složitá. Je vzrušující. Poptávka po kvalifikovaných specialistech je vysoká.
Co vlastně dělá počítačový forenzní specialista? Používá vyšetřovací techniky ke shromažďování a uchovávání důkazů z počítačových zařízení. Cílem je předložit tyto důkazy způsobem, který obstojí při soudní kontrole. Jde o strukturu. Jde o zákonnost. Jde o to interpretovat data způsobem, kterému porota rozumí.
Požadavky na vzdělání se liší. Některé pozice přijímají certifikáty. Většina odborníků má alespoň bakalářský titul. Mezi běžné obory patří počítačová forenzní věda, informatika nebo kybernetická bezpečnost. Konkrétní pole, které zadáte, může určit přesnou požadovanou kvalifikaci.
Krajina se neustále mění. Nová zařízení. Nové šifrování. Nové způsoby, jak skrýt data. Nástroje se přizpůsobí. Metody se vyvíjejí. Otázkou není, zda budou důkazy přijaty. Otázkou je, zda lze v hluku najít pravdu.
Digitální posmrtný život
Vyšetřování nekončí ve fázi zabavení. Jde do labyrintu precedentů, zásad a technických nuancí, které určují, jak digitální důkazy přežijí přechod ze serveru do soudní síně. Pokud hledáte mechaniku této magie – nebo její nedostatek – existují základní průvodce, kteří to všechno rozeberou. Pochopení toho, jak bity a bajty interagují s kabelovými modemy nebo počítačovou RAM, není jen akademický zájem. To je rozdíl mezi extrahováním souboru a extrahováním ducha.
Architektura obnovy
Nemůžete opravit to, čemu nerozumíte. Hlavní články pokrývající tuto oblast často začínají na úrovni hardwaru nebo protokolu. Jak funguje počítačová paměť vysvětluje, proč jsou „smazané“ soubory uloženy v nepřiděleném prostoru. Jak funguje šifrování vysvětluje, proč tento prostor může vypadat jako hromada nesmyslných znaků. Jak funguje domácí síť ukazuje, jak se data přesouvají, a Jak funguje odposlech ukazuje, jak je lze zachytit.
Toto je ekosystém. Podíváte se na základní desky a uvidíte křemík. Podíváte se na operační systémy a uvidíte abstrakce. Ale když se objeví forenzní vyšetřovatelé, vidí artefakty. Časová razítka. Metadata. Stíny aktivity.
Právní štít
Technologie se rychle vyvíjejí. Zákon se pohybuje pomaleji. V této mezeře podniky buď přežívají, nebo zanikají. Federální pravidla dokazování, konkrétně pravidlo 1001, definují, co je v digitálním věku považováno za „originál“. Je výtisk originální? Ne. Je to bitová kopie? Možná. Záleží na integritě.
Orin Kerr, píšící pro americké ministerstvo spravedlnosti, zdůrazňuje, že počítačové záznamy jsou složité. Toto není jen text. To jsou systémy. Jejich uložení vyžaduje víc než jen snímek obrazovky. To vyžaduje metodiku, která vyhovuje Federálním pravidlům dokazování a zároveň zachycuje dynamickou povahu digitálního úložiště. Práce Franklina Wittera o právních aspektech shromažďování důkazů to zdůrazňuje: pokud je řetězec úschovy důkazů přerušen kvůli technické neznalosti, důkazy jsou ztraceny. Nejsou jednoduše vyloučeni. Jsou nenávratně ztraceny.
Závody ve zbrojení: anti-forenzní
Pak je tu protilehlá strana. Anti-forenzní. Nejde jen o skrytí dat. To je překroucení pravdy. Článek Scotta Berinata „The Rise of Anti-Criminology“ a konsensuální dokumenty Ryana Harrise popisují měnící se krajinu. Útočníci nejenže mažou soubory. Mění časová razítka. Zavádějí šum do klíčů registru. Použijte koncepty kvantového šifrování k ochraně jejich tajemství pro budoucnost (ačkoli praktická kvantově odolná kryptografie se stále vyvíjí).
Christian Peron a Michael Legari dokumentují tyto techniky transformace dat. Tohle je závod ve zbrojení. Vyšetřovatelé používají standardy NIST Computer Forensics Tool Testing Project, aby zajistili, že jejich nástroje nezmění důkazy. Tým CERT dokumentuje, jak FBI vyšetřuje počítačové zločiny s důrazem na bezpečnost. Cíle se ale neustále posouvají.
Lidský faktor
Nástroje nejsou o nic lepší než ti, kteří je používají. Stránky Judda Robbinse nabízejí vysvětlení, která překlenují propast mezi kódem a úsudkem. Lisa Oseles tvrdí, že počítačová forenzní analýza je klíčem k vyřešení zločinu, ale pouze v případě, že klíč pasuje do zámku. Směrnice Amerického ministerstva spravedlnosti pro prohledávání a zabavování počítačů poskytují právní rámec, ale nemohou vyhovět každému novému souborovému systému nebo cloudové architektuře.
Vezměte si případ Enron. Pád Enronu nebyl jen účetní podvod. Byla to lekce digitálního uchovávání. e-maily. Smazané koncepty. Skryté složky. Důkazy tam byly. Chtělo to jen správný objektiv. Thomas Fitzgerald poznamenal v The New York Times, že smazaná data jen zřídka skutečně zmizí. Jen čekají.
Kam dál?
Zde uvedený seznam odkazů je mapa, nikoli umístění. Ukazuje na článek How Safe Hacking Works, který je metaforou pro reverzní inženýrství. Ukazuje na Jak funguje odposlech a připomíná vám možnosti sledování.
Ale skutečný příběh spočívá v realizaci. Jaký nástroj používáte, záleží. Kde jsou data uložena, záleží. Jak byly shromážděny záležitosti.
Digitální vyšetřování
