Pojęcia

Słownik informatyki śledczej

Czterdzieści pojęć, które decydują o wartości dowodu cyfrowego

Te hasła pojawiają się w opiniach biegłych, w protokołach zabezpieczenia i w pytaniach obrony na sali rozpraw. Wyjaśniamy je zwięźle i bez żargonu — tak, jak tłumaczymy je stronom postępowania.

Słownik pochodzi z naszej bezpłatnej gry edukacyjnej, w której te pojęcia trzeba zastosować w praktyce, a nie tylko zapamiętać. Zagraj w DOWÓD.EXE

$MFT i znaczniki czasu NTFS: Tablica plików systemu NTFS. Każdy plik ma dwa zestawy dat: $STANDARD_INFORMATION (łatwy do zmiany) i $FILE_NAME (trudny do zmiany). Różnica między nimi zdradza fałszowanie dat.
AFU i BFU: Telefon po pierwszym odblokowaniu (AFU) ma część danych odszyfrowaną. Po restarcie lub rozładowaniu wraca do stanu BFU i dane są zaszyfrowane.
Blokada zapisu: Urządzenie pozwalające odczytać dysk bez możliwości zapisania na nim czegokolwiek. Podstawowe narzędzie laboratorium.
Błąd konfirmacji: Skłonność do szukania i dostrzegania tylko tego, co potwierdza z góry przyjętą tezę.
Carving: Odzyskiwanie plików z surowych danych po ich sygnaturach, bez pomocy systemu plików.
Dane ulotne: Informacje, które znikają po wyłączeniu zasilania: zawartość pamięci RAM, uruchomione procesy, aktywne połączenia sieciowe.
Dziennik USN: Dziennik zmian systemu plików: tworzenie, zmiana nazwy i usuwanie plików.
Format E01 i RAW: E01 przechowuje obraz z metadanymi sprawy i wewnętrznymi sumami kontrolnymi. RAW (dd) to surowa kopia, do której skrót zapisuje się osobno.
Hipoteza alternatywna: Inne możliwe wyjaśnienie znalezionych śladów. ISO/IEC 27042 wymaga ich rozważenia, zanim sformułujesz wniosek.
HPA i DCO: Ukryte obszary dysku, niewidoczne dla systemu operacyjnego. Przed akwizycją sprawdza się, czy obraz obejmie cały nośnik.
Ingerencja: Każda zmiana stanu dowodu przez prowadzącego, nawet dopuszczalna, jak ruch myszą. Musi trafić do protokołu.
ISO/IEC 27037: Norma o identyfikacji, zbieraniu, akwizycji i zabezpieczaniu dowodów cyfrowych. Kluczowe zasady: audytowalność, powtarzalność, odtwarzalność i uzasadnialność.
Izolacja od sieci: Odcięcie urządzenia od internetu, żeby nikt nie mógł zdalnie zmienić ani skasować danych.
Klucz odzyskiwania: Długi kod, który pozwala odczytać zaszyfrowany dysk bez hasła użytkownika.
Kolejność ulotności: Zasada, by zabezpieczać dane od najbardziej ulotnych (RAM, połączenia) do najtrwalszych (dysk, wydruki).
Komora ekranowana: Skrzynia lub pomieszczenie blokujące sygnały radiowe, w którym można bezpiecznie pracować na telefonie.
Kontaminacja krzyżowa: Przeniesienie danych z jednej sprawy do drugiej, np. przez nośnik docelowy, który nie został prawidłowo wymazany.
Obraz binarny: Kopia nośnika bit po bicie: wszystkie sektory, także usunięte pliki i wolna przestrzeń. Przeciwieństwo kopii logicznej, która obejmuje tylko widoczne pliki.
Obraz wzorcowy i kopia robocza: Wzorzec przechowuje się tylko do odczytu i służy do weryfikacji. Analizę prowadzi się na kopii roboczej.
Odczyt logiczny, FFS i fizyczny: Logiczny: kopia przez interfejs telefonu, szybka, ale bez większości danych aplikacji i usuniętych rekordów. FFS: pełny system plików, zwykle najszerszy zakres przy nowoczesnym telefonie w stanie AFU. Fizyczny: zrzut całej pamięci; przy szyfrowaniu plików daje głównie zaszyfrowane bloki. Zasada: najszerszy zakres dostępny w danym stanie urządzenia i opis, czego metoda nie obejmuje.
Opinia biegłego (art. 200 KPK): Musi zawierać m.in. dane biegłego, inne osoby uczestniczące w badaniach, czas badań i datę opinii, sprawozdanie z czynności i spostrzeżeń, wnioski oraz podpis.
Pliki LNK: Skróty tworzone przez Windows przy otwieraniu plików. Pamiętają ścieżkę, wolumin i czas, nawet gdy pliku już nie ma.
Plomba: Zabezpieczenie opakowania z unikalnym numerem. Nienaruszona plomba pokazuje, że nikt nie otwierał dowodu.
Prefetch: Pliki systemu Windows zapisujące, kiedy i ile razy uruchomiono dany program.
Protokół: Zapis czynności: czas, miejsce, podstawa, osoby obecne, przebieg, wykaz rzeczy, oświadczenia i podpisy. Tylko fakty, bez opinii.
Raport a dowód źródłowy: Raport z programu analitycznego to opis wybranych danych, sporządzony przez jedną osobę jednym programem. Dowodem źródłowym jest pełna kopia danych. Bez niej nikt nie sprawdzi, czy raport jest prawdziwy i kompletny.
Stan zastany: Wygląd miejsca i urządzeń w chwili przybycia, przed jakąkolwiek zmianą. Dokumentuje się go zdjęciami i opisem.
Suma kontrolna raportu: Dowodzi tylko, że nikt nie zmienił pliku raportu. Nie dowodzi, że raport wiernie i w całości oddaje zawartość urządzenia. Jak plomba: działa tylko razem z workiem.
Suma kontrolna SHA-256: „Odcisk palca” pliku. Zmiana choćby jednego bitu daje zupełnie inny wynik, więc suma pozwala wykazać, że kopia jest nienaruszona.
Sygnatura pliku: Pierwsze bajty pliku zdradzające jego prawdziwy typ, np. 25 50 44 46 to PDF, 50 4B 03 04 to ZIP.
Szyfrowanie dysku (BitLocker): Bez klucza dane na dysku są nieczytelne. Na włączonym komputerze klucz bywa w pamięci, po wyłączeniu znika.
Timestomping: Celowa zmiana dat pliku, żeby wyglądał na starszy albo nowszy. Typowa technika zacierania śladów.
Torba Faradaya: Ekranowana torba blokująca sygnał komórkowy, Wi-Fi i Bluetooth. Telefon w środku szuka sieci i szybciej traci baterię.
USBSTOR: Gałąź rejestru z historią podłączanych urządzeń USB, z numerami seryjnymi.
UTC i odchyłka zegara: Windows zapisuje większość czasów w UTC. Do czasu lokalnego trzeba dodać strefę (zimą UTC+1) i uwzględnić, czy zegar komputera chodził dokładnie.
Walidacja narzędzia: Sprawdzenie na danych testowych, że narzędzie robi dokładnie to, co deklaruje. Używa się tylko zwalidowanych wersji.
Zasady ACPO: 1: nie zmieniaj danych dowodu. 2: jeśli musisz pracować na oryginale, rób to kompetentnie i umiej to wyjaśnić. 3: zapisuj wszystko tak, by inny specjalista mógł powtórzyć badanie. 4: prowadzący odpowiada za przestrzeganie zasad.
Zdalne wymazanie: Polecenie wysłane przez sieć, które czyści urządzenie, np. przywraca ustawienia fabryczne.
Zrzut pamięci RAM: Kopia zawartości pamięci operacyjnej zapisana specjalnym narzędziem na zewnętrzny nośnik.
Łańcuch dowodowy: Udokumentowana historia dowodu: kto, kiedy i gdzie go miał. Przerwa w łańcuchu pozwala podważyć dowód.

Dalej

Te pojęcia w praktyce

Udostępnij