Sikkerhed + certificering: Computer Forensics and Incident Reponse - dummies

Computerforensics indebærer at foretage en undersøgelse for at afgøre, hvad der er sket, for at finde ud af, hvem der er ansvarlig og indsamle lovligt Tilladeligt bevis for brug i en computer kriminalitet sag.

Nært relateret til, men klart anderledes end undersøgelser, er hændelsesrespons. Formålet med en undersøgelse er at bestemme, hvad der skete, for at bestemme hvem der er ansvarlig, og at indsamle beviser. Incident response bestemmer, hvad der skete, indeholder og vurderer skader, og genopretter normale operationer.

Undersøgelser og indfaldsvilkår skal ofte gennemføres samtidig på en velkoordineret og kontrolleret måde for at sikre, at de oprindelige handlinger af en aktivitet ikke ødelægger bevis eller forårsager yderligere skade på organisationens aktiver. Af denne grund skal Computer Incident (eller Emergency) Response Teams (CIRT eller CERT) være behørigt uddannet og kvalificeret til at sikre en kriminalitet scene eller hændelse, samtidig med at bevarelsen bevares. Ideelt set omfatter CIRT personer, der gennemfører undersøgelsen.

Gennemførelse af undersøgelser

En computerkriminalitetsundersøgelse bør begynde straks efter indberetning af en påstået computerkriminalitet eller -hændelse. Indledningsvis bør enhver hændelse håndteres som en computerkriminalitetsundersøgelse, indtil en foreløbig undersøgelse bestemmer andet. De generelle trin, der skal følges i undersøgelsesprocessen, er følgende:

Detekter og indeholder: Tidlig detektion er afgørende for en vellykket undersøgelse. Desværre er passive eller reaktive detekteringsteknikker (såsom revisionen af revisionsspor og utilsigtet opdagelse) sædvanligvis normen i computerforbrydelser og forlader ofte et koldt bevisspor. Indeslutning er afgørende for at minimere yderligere tab eller skade.

Meddelelse ledelse: Ledelsen skal hurtigst muligt underrettet om enhver undersøgelse. Kendskab til undersøgelsen bør begrænses til så få personer som muligt og bør være nødvendig for at vide. Kommunikationsmetoder uden for bånd (indberetning personligt) bør anvendes til at sikre, at følsomme meddelelser om undersøgelsen ikke opfanges.
Begynd forundersøgelse: Dette er nødvendigt for at afgøre, om en forbrydelse faktisk har fundet sted. De fleste hændelser er ærlige fejl, ikke kriminel adfærd. Dette trin omfatter

• Gennemgang af klagen eller rapporten

• Inspektion af skader

• Interviewende vidner

• Undersøgelse af logfiler

• Identifikation af yderligere undersøgelseskrav

Initierer beslutsomhed om offentliggørelse: Den første og det vigtigste er at afgøre, om offentliggørelse af kriminaliteten eller hændelsen er påkrævet ved lov.Dernæst afgøre, om offentliggørelse ønskes. Dette bør koordineres med en offentlig eller offentlig anliggender i organisationen.
Gennemfør undersøgelsen:

• Identificer potentielle mistænkte. Dette inkluderer insidere og outsidere til organisationen. En standarddiskriminator, der hjælper med at bestemme eller eliminere potentielle mistænkte, er MOM-testen: Har den mistænkte motivet, muligheden og midlerne til at begå kriminaliteten?

• Identificere potentielle vidner. Bestem hvem der skal interviewes, og hvem vil gennemføre interviews. Pas på ikke at advare eventuelle potentielle mistænkte til undersøgelsen; fokusere på at opnå fakta, ikke meninger, i vidnesbyrd.

• Forbered dig på søgning og beslaglæggelse. Dette indebærer at identificere de typer systemer og beviser, der skal søges eller beslaglægges, udpege og træne søgen og beslagholdets holdmedlemmer (CIRT), opnå og betjene ordentlige søgeoptioner (hvis det er nødvendigt) og bestemme potentiel risiko for systemet under en søgning og beslaglæggelse indsats.

Rapportresultater: Resultaterne af undersøgelsen, herunder beviser, skal indberettes til ledelsen og overføres til relevante retshåndhævende embedsmænd eller anklagere.

Bevis

Bevis er oplysninger fremlagt i en domstol for at bekræfte eller fjerne et faktum, der er under strid. En sag kan ikke anlægges for retten uden tilstrækkelig dokumentation til støtte for sagen. Således er korrekt samling af beviser en af de vigtigste og vanskeligste opgaver af efterforskeren.

Typer af beviser

Kilder til juridiske beviser, der kan præsenteres ved en domstol, falder generelt ind i en af fire hovedkategorier:

Direkte bevis: Dette er et mundtligt vidnesbyrd eller en skriftlig erklæring baseret på Oplysninger indsamlet gennem vidnesens fem sanser (et øjenvidne konto), der beviser eller afviser en bestemt kendsgerning eller problem.
Ægte (eller fysiske) beviser: Disse er håndgribelige objekter fra den faktiske forbrydelse, som disse:

• Værktøjer og våben

• Stolet eller beskadiget ejendom

• Visuelle eller lydovervågningsbånd

Dokumentarbevis: De fleste beviser, der fremlægges i en computerkriminalitet, er dokumentbevis, som fx følgende:

• Originaler og kopier af forretningsregistre

• Computergenererede og computerlagrede poster

• Manualer

• Politikker

• Standarder

• Procedurer

• Logfiler > Virksomhedsoptegnelser, herunder dataposter, anses traditionelt for retssag fra de fleste domstole, fordi disse optegnelser ikke kan dokumenteres nøjagtige og pålidelige. En af de væsentligste forhindringer for en anklagemyndighed til at overvinde i en computerkriminalitet er at søge adgang til dataposter som bevis.

Bruges til at hjælpe domstolens forståelse af en sag. Udtalelser betragtes som demonstrationsbevis og kan enten være •

Ekspert: Baseret på personlig ekspertise og fakta •

Nonexpert: Kun på fakta Andre eksempler på demonstrant Bevis omfatter modeller, simuleringer, diagrammer og illustrationer.

Andre typer beviser, der kan falde ind i mindst en af de foregående hovedkategorier omfatter

Bedste beviser:

Original, uændret beviser. I retten foretrækkes dette over sekundære beviser. Data hentet fra en computer opfylder den bedste bevisregel og kan normalt indføres i retstvister som sådan.
Et duplikat eller eksemplar af beviser, som f.eks. • Tape backup

• Screen capture

• Foto

Bekræftende beviser:

Understøtter eller underbygger andre beviser fremlagt i en sag. Afsluttende bevis:
Uforligelig og uoprettelig: Røgevåben. Vigtige beviser:
Relevante fakta, der ikke direkte eller konkret kan forbindes med andre begivenheder, men om hvilke en rimelig indledning kan foretages. Bevis for bevismateriale

Fordi computergenererede beviser ofte ofte kan manipuleres, ændres eller manipuleres, og fordi det ikke er let og almindeligt forstået, anses denne type beviser normalt for at være mistænkte i en domstol.

For at kunne antages, skal beviset være:

Relevant:

Det skal have tendens til at bevise eller afvise fakta, der er relevante og materielle for sagen. Pålidelig:
Det skal være rimeligt bevist, at det, der er fremlagt som bevis, er det, der oprindeligt blev indsamlet, og at selve beviser er pålidelige. Dette opnås dels gennem korrekt dokumenthåndtering og forkædningskæden. Lovligt tilladt:
Det skal indhentes ved lovlige midler. Bevis, der ikke er lovligt tilladt, kan indeholde bevis opnået på følgende måder: •

Ulovlig søgning og beslaglæggelse: Retshåndhævende personale skal indhente en forudgående retskendelse; Dog kan ikke-retshåndhævende personale, som f.eks. en tilsynsførende eller systemadministrator, under visse omstændigheder kunne foretage en autoriseret søgning. •

Ulovlige wiretaps eller telefonkraner: Alle, der udfører wiretaps eller telefonkraner, skal have en forudgående retskendelse. •

Entrapment eller enticement: Entrapment opfordrer nogen til at begå en forbrydelse, som personen ikke har haft til hensigt at begå. Omvendt lokker enticement nogen mod nogle beviser (en honningkande, hvis du vil) efter at personen allerede har begået en forbrydelse. Tilkendelse er ikke nødvendigvis ulovlig, men rejser etiske argumenter og kan ikke antages til retten. •

Tving: Samtykket vidnesbyrd eller tilståelser er ikke lovligt tilladt. •

Uautoriseret eller ukorrekt overvågning: Aktiv overvågning skal være korrekt godkendt og udført på standard måde; Brugerne skal underrettes om, at de kan overvåges.