Цифровой криминалистический процесс - Digital forensic process

Блокировщик криминалистической записи Tableau

В цифровой криминалистический процесс это признанный научный и судебный процесс, используемый в цифровая криминалистика расследования.[1][2] Исследователь-криминалист Эоган Кейси определяет его как ряд шагов от первоначального предупреждения об инциденте до сообщения о результатах.[3] Процесс преимущественно используется в компьютер и мобильный судебно-медицинская экспертиза и состоит из трех этапов: получение, анализ и составление отчетов.

Цифровые средства массовой информации, изъятые для расследования, в юридической терминологии обычно называют «экспонатом». Следователи используют научный метод восстановить цифровые доказательства чтобы поддержать или опровергнуть гипотезу, либо для суд или в гражданское судопроизводство.[2]

Персонал

Этапы процесса цифровой криминалистики требуют различной специальной подготовки и знаний. Есть два ориентировочных уровня персонала:[3]

Цифровой криминалист
Технические специалисты собирают или обрабатывают доказательства на месте преступления. Эти специалисты обучены правильному обращению с технологиями (например, как сохранить доказательства). От технических специалистов может потребоваться проведение «живого анализа» доказательств. Были созданы различные инструменты для упрощения этой процедуры, в первую очередь Microsoft с КОФЕ.
Исследователи цифровых доказательств
Эксперты специализируются в одной области цифровых доказательств; либо на широком уровне (т.е. компьютер или сетевая криминалистика и т. д.) или в качестве суб-специалиста (например, анализ изображений)

Модели процессов

Было много попыток разработать модель процесса, но пока ни одна из них не получила всеобщего признания. Частично это может быть связано с тем, что многие модели процессов были разработаны для конкретной среды, например для правоохранительных органов, и поэтому их нельзя было легко применить в других средах, таких как реагирование на инциденты.[4] Это список основных моделей с 2001 года в хронологическом порядке:[4]

  • Абстрактная цифровая криминалистическая модель (Reith, et al., 2002)
  • Интегрированный цифровой процесс расследования (Carrier & Spafford, 2003) [1]
  • Расширенная модель расследования киберпреступлений (Ciardhuain, 2004)
  • Улучшенная модель процесса цифрового расследования (Baryamureeba & Tushabe, 2004)[2]
  • Модель анализа цифрового места преступления (Роджерс, 2004 г.)
  • Иерархическая, основанная на целях структура процесса цифровых расследований (Биби и Кларк, 2004 г.)
  • Основа для цифрового расследования (Кон и др., 2006)[3]
  • Четырехэтапный судебно-медицинский процесс (Kent, et al., 2006)
  • FORZA - Система расследования цифровой криминалистики (Ионг, 2006 г.)[4]
  • Потоки процессов для обучения и операций по кибер-криминалистике (Вентер, 2006 г.)
  • Модель общего процесса (Freiling & Schwittay, 2007) [5]
  • Модель процесса увеличения надежности двумерных свидетельств (Khatir, et al., 2008)[6]
  • Система цифровых судебных расследований (Selamat, et al., 2008)
  • Модель систематического цифрового судебного расследования (SRDFIM) (Agarwal, et al., 2011)[7]
  • Расширенная модель сбора данных (ADAM): модель процесса для цифровой судебной экспертизы (Адамс, 2012) [8]

Захват

Перед фактическим осмотром цифровые носители будут изъяты. В уголовных делах это часто будет выполнять правоохранительные органы Персонал, прошедший обучение в качестве технических специалистов, для обеспечения сохранности доказательств. По гражданским делам это обычно будет сотрудник компании, часто необученный. Различные законы охватывают захват материала. В уголовных делах право, относящееся к ордера на обыск применимо. В гражданском судопроизводстве предполагается, что компания может исследовать собственное оборудование без ордера, при условии сохранения конфиденциальности и прав человека сотрудников.

Получение

Пример портативного накопителя информации

После изъятия экспонатов точное сектор дубликат уровня (или «судебный дубликат») носителя создается, как правило, с помощью блокировка записи устройство. Процесс копирования называется Изображения или Получение.[5] Дубликат создается с помощью дубликатора жесткого диска или программных средств создания образов, таких как DCFLdd, IXimager, Guymager, TrueBack, EnCase, FTK Imager или FDAS. Затем исходный диск возвращается в безопасное хранилище для предотвращения несанкционированного доступа.

Полученное изображение проверяется с помощью SHA-1 или MD5 хэш-функции. В критических точках на протяжении анализа СМИ снова проверяются, чтобы убедиться, что доказательства все еще находятся в исходном состоянии. Процесс проверки изображения с помощью хеш-функции называется «хешированием».

Учитывая проблемы, связанные с созданием образов больших дисков, нескольких сетевых компьютеров, файловых серверов, которые нельзя выключить, и облачных ресурсов, были разработаны новые методы, сочетающие цифровую криминалистическую экспертизу и обнаружение электронных ресурсов процессы.

Анализ

После получения содержимое файлов изображений (жесткого диска) анализируется для выявления свидетельств, которые либо поддерживают, либо опровергают гипотезу, либо на наличие признаков фальсификации (чтобы скрыть данные).[6] В 2002 г. Международный журнал цифровых доказательств назвал этот этап «углубленным систематическим поиском улик, относящихся к предполагаемому преступлению».[7] Напротив, Брайан Кэрриер в 2006 году описывает более «интуитивную процедуру», при которой сначала выявляются очевидные доказательства, после чего «проводятся исчерпывающие поиски, чтобы начать заполнение дыр».[8]

В ходе анализа следователь обычно восстанавливает вещественные доказательства, используя ряд различных методологий (и инструментов), часто начиная с восстановления удаленных материалов. Экзаменаторы используют специальные инструменты (EnCase, ILOOKIX, FTK и т. Д.) Для просмотра и восстановления данных. Тип восстанавливаемых данных зависит от расследования, но примеры включают электронную почту, журналы чата, изображения, историю Интернета или документы. Данные можно восстановить из доступного дискового пространства, удаленного (нераспределенного) пространства или из файлов кэша операционной системы.[3]

Для восстановления улик используются различные методы, обычно включающие поиск по ключевым словам в полученном файле изображения, чтобы либо идентифицировать совпадения с релевантными фразами, либо отфильтровать известные типы файлов. Некоторые файлы (например, графические изображения) имеют определенный набор байтов, которые определяют начало и конец файла. Если обнаружено, удаленный файл может быть восстановлен.[3] Многие инструменты судебной экспертизы используют хэш-подписи для выявления значимых файлов или исключения известных (безопасных) файлов; полученные данные хешируются и сравниваются с предварительно составленными списками, такими как Набор справочных данных (RDS) из Национальная справочная библиотека по программному обеспечению[5]

На большинстве типов носителей, включая стандартные магнитные жесткие диски, после того, как данные были безопасно удалено это никогда не может быть восстановлено.[9][10]

Как только доказательства собраны, информация анализируется, чтобы реконструировать события или действия и сделать выводы, работа, которая часто может выполняться менее специализированным персоналом.[7] Цифровые следователи, особенно в уголовных расследованиях, должны гарантировать, что выводы основаны на данных и их собственных экспертных знаниях.[3] В США, например, Федеральные правила доказывания гласят, что квалифицированный эксперт может давать показания «в форме заключения или иным образом» при условии, что:

(1) свидетельские показания основаны на достаточных фактах или данных, (2) свидетельские показания являются продуктом надежных принципов и методов, и (3) свидетель надежно применил принципы и методы к фактам дела.[11]

Составление отчетов

Когда расследование завершено, информация часто представляется в форме, подходящей для нетехнические лица. Отчеты также могут включать аудиторскую информацию и другую метадокументацию.[3]

После завершения отчеты обычно передаются тем, кто заказывает расследование, например правоохранительным органам (в уголовных делах) или компании-нанимателям (в гражданских делах), которые затем решают, использовать ли доказательства в суде. Как правило, для уголовного суда пакет отчетов состоит из письменного экспертного заключения о доказательствах, а также самих доказательств (часто представленных на цифровых носителях).[3]

использованная литература

  1. ^ "'Электронное руководство по расследованию места преступления: руководство для служб быстрого реагирования » (PDF). Национальный институт юстиции. 2001 г.
  2. ^ а б Разное (2009). Эоган Кейси (ред.). Справочник по цифровой криминалистике и расследованиям. Академическая пресса. п. 567. ISBN  978-0-12-374267-4. Получено 4 сентября 2010.
  3. ^ а б c d е ж г Кейси, Иоган (2004). Цифровые доказательства и компьютерные преступления, второе издание. Эльзевир. ISBN  0-12-163104-4.
  4. ^ а б Адамс, Ричард (2012). "'Расширенная модель сбора данных (ADAM): модель процесса для цифровой судебной экспертизы » (PDF).
  5. ^ а б Маартен Ван Хоренбек (24 мая 2006 г.). «Расследование технологических преступлений». Архивировано из оригинал 17 мая 2008 г.. Получено 17 августа 2010.
  6. ^ Перевозчик, B (2001). «Определение инструментов цифровой криминалистической экспертизы и анализа». Семинар по цифровым исследованиям II. CiteSeerX  10.1.1.14.8953. Отсутствует или пусто | url = (Помогите)
  7. ^ а б M Reith; C Carr; Г. Гунш (2002). «Экспертиза цифровых криминалистических моделей». Международный журнал цифровых доказательств. CiteSeerX  10.1.1.13.9683. Отсутствует или пусто | url = (Помогите)
  8. ^ Кэрриер, Брайан Д. (7 июня 2006 г.). «Основные концепции цифрового судебного расследования».
  9. ^ «Очистка диска - достаточно одного прохода». 17 марта 2009 г. Архивировано с оригинал 16 марта 2010 г.. Получено 27 ноября 2011.
  10. ^ «Очистка диска - достаточно одного прохода - часть 2 (на этот раз со скриншотами)». 18 марта 2009 г. Архивировано с оригинал 23 декабря 2011 г.
  11. ^ «Федеральный регламент доказывания №702». Архивировано из оригинал 19 августа 2010 г.. Получено 23 августа 2010.

внешние ссылки

дальнейшее чтение