Säkerhet + Certifiering: Computer Forensics and Incident Reponse - dummies

Datorteknik innebär att man gör en utredning för att avgöra vad som har hänt, för att ta reda på vem som är ansvarig och att samla lagligt tillåtliga bevis för användning i ett datorbrottsfall.

Närstående, men tydligt annorlunda än undersökningar, är incidenter. Syftet med en utredning är att avgöra vad som hände, att bestämma vem som är ansvarig och att samla in bevis. Incident response bestämmer vad som hände, innehåller och bedömer skador och återställer normala operationer.

Undersökningar och incidenter måste ofta utföras samtidigt på ett väl samordnat och kontrollerat sätt för att säkerställa att de inledande åtgärderna i endera verksamheten inte förstör bevis eller orsakar ytterligare skada på organisationens tillgångar. Av detta skäl måste datorhändelsesponslag (CIRT eller CERT) vara korrekt utbildade och kvalificerade för att säkra en brottsplats eller händelse samtidigt som bevis bevaras. Helst innefattar CIRT individer som utför undersökningen.

Genomföra undersökningar

En datorbrottutredning bör påbörjas omedelbart efter anmälan av en påstådd datorbrott eller incident. Ursprungligen bör varje händelse hanteras som en datorbrottutredning tills en preliminär utredning avgör annat. De allmänna steg som ska följas i undersökningen är följande:

Detektera och innehålla: Tidig detektion är avgörande för en lyckad undersökning. Tyvärr är passiva eller reaktiva detekteringstekniker (såsom granskning av granskningslistor och oavsiktlig upptäckt) vanligtvis norm i datorbrott och lämnar ofta en kall bevisspår. Inhängning är viktigt för att minimera ytterligare förlust eller skada.

Meddela ledningen: Ledningen måste meddelas om utredning så snart som möjligt. Kunskap om utredningen bör begränsas till så få personer som möjligt och borde vara nödvändig. Utanför bandkommunikationsmetoder (rapportering personligen) bör användas för att säkerställa att känsliga meddelanden om undersökningen inte avlyssnas.
Börja förundersökning: Detta är nödvändigt för att avgöra om ett brott verkligen har inträffat. De flesta incidenter är ärliga fel, inte kriminellt beteende. Detta steg inkluderar

• Granska klagomålet eller rapporten

• Inspektera skador

• Intervjuer vittnen

• Granska loggar

• Identifiera ytterligare utredningskrav

Inleda beslutsfattande: Den första och viktigast av att bestämma är huruvida avslöjande av brott eller händelse krävs enligt lag.Därefter bestämma om information är önskvärd. Detta bör samordnas med en offentlig eller offentlig affärskontor i organisationen.
Utför undersökningen:

• Identifiera potentiella misstänkta. Detta inkluderar insiders och utomstående till organisationen. En standarddiskriminator för att bestämma eller eliminera potentiella misstänkta är MOM-testet: Har misstänkt motiven, möjligheten och medel att begå brottet?

• Identifiera potentiella vittnen. Bestäm vem som ska intervjuas och vem ska genomföra intervjuerna. Var försiktig så att du inte varnar eventuella misstänkta för utredningen. fokusera på att få fakta, inte åsikter, i vittnesmål.

• Förbered dig för sökning och anfall. Detta inkluderar att identifiera vilka typer av system och bevis som ska sökas efter eller beslagtagas, utse och utbilda sökande och anfallsledamöter (CIRT), erhålla och betjäna rätt sökningsoptioner (om så krävs) och bestämma potentiell risk för systemet under en sökning och anfall.

Rapportresultat: Resultaten av utredningen, inklusive bevis, bör rapporteras till ledningen och överlämnas till lämpliga brottsbekämpande tjänstemän eller åklagare.

Bevis

Bevis är information som lagts fram i en domstol för att bekräfta eller skingra ett faktum som är föremål för invändning. Ett ärende kan inte väckas till prövning utan tillräckliga bevis för att stödja ärendet. Således är korrekt insamling av bevis en av de viktigaste och svåraste uppgifterna hos utredaren.

Typ av bevis

Källor av juridisk bevisning som kan presenteras vid domstol kommer i allmänhet att falla i en av fyra huvudkategorier:

Direkt bevis: Detta är muntligt vittnesmål eller en skriftlig redogörelse baserad på information som samlas in genom vittnet s fem sinnen (ett ögonvittnes konto) som bevisar eller motbevisar ett visst faktum eller problem.
Verkliga (eller fysiska) bevis: Dessa är konkreta föremål från det faktiska brottet, som dessa:

• Verktyg och vapen

• Stulen eller skadad egendom

• Visuella eller ljudövervakningsband

Dokumentation: De flesta bevis som presenteras i ett datorbrottsfall är dokumentation, såsom följande:

• Originaler och kopior av företagsrekord

• Datorgenererade och datorlagrade poster

• Handböcker

• Policyer

• Standarder

• Procedurer

• Loggfiler > Företagsrekord, inklusive dataposter, anses traditionellt höra bevis vid de flesta domstolar, eftersom dessa dokument inte kan bevisas korrekt och tillförlitliga. Ett av de viktigaste hindren för en åklagare att övervinna i ett datorbrottsfall är att söka upptagande av dataposter som bevis.

Används för att hjälpa domstolens förståelse av ett ärende. Yttranden betraktas som demonstrationsbevis och kan vara antingen •

Expert: Baserat på personlig kompetens och fakta •

Nonexpert: Endast på fakta Andra exempel på demonstrations Bevis inkluderar modeller, simuleringar, diagram och illustrationer.

Andra typer av bevis som kan falla i minst en av de föregående huvudkategorierna är

Bästa bevis:

Ursprungligt, oförändrat bevis. I domstol är detta föredraget över sekundära bevis. Data som extraheras från en dator uppfyller den bästa bevisregeln och kan normalt införas i domstolsförfaranden som sådan.
Ett duplikat eller en kopia av bevis, till exempel • Baksäkerhetskopiering

• Skärminspelning

• Fotografera

Korrekt bevis:

Stödjer eller underbygger andra bevis som presenteras i ett fall. Avslutande bevis:
Oövervinnlig och oregerbar: Rökpistolen. Väsentliga bevis:
Relevanta fakta som inte kan vara direkt eller definitivt kopplade till andra händelser men om vilka en rimlig inferens kan göras. Upptagande av bevis

Eftersom datorgenererade bevis ofta kan manipuleras, ändras eller manipuleras, och eftersom det inte är lätt och allmänt förstått, anses denna typ av bevis oftast vara misstänkt i en domstol.

För att kunna tas upp till sakprövning måste bevis vara:

Relevant:

Det måste tendera att bevisa eller motbevisa fakta som är relevanta och väsentliga för ärendet. Pålitlig:
Det måste bevisas att det som presenteras som bevis är det som ursprungligen samlades in och att bevisen i sig är tillförlitlig. Detta uppnås delvis, genom korrekt bevishantering och förvaringskedjan. Lagligt tillåten:
Det måste erhållas genom lagliga medel. Bevis som inte är lagligt tillåten kan innehålla bevis som erhållits genom dessa medel: •

Illegal sökning och beslag: Lagstiftningspersonal måste erhålla förhandsbesked. Icke-brottsbekämpande personal, t.ex. en handledare eller systemadministratör, kan emellertid under vissa omständigheter göra en auktoriserad sökning. •

Otillåtna wiretaps eller telefonkranar: Alla som driver wiretaps eller telefonkranar måste få en förhandsbesked. •

Entrapment eller enticement: Entrapment uppmuntrar någon att begå ett brott som individen kanske inte har haft för avsikt att begå. Omvänt lurar någon mot vissa bevis (en honungspott, om du vill) efter det att personen redan begått ett brott. Enticement är inte nödvändigtvis olagligt men ger upphov till etiska argument och får inte tas upp till sakprövning. • Tvång: Samtyckt vittnesmål eller bekännelser är inte lagligt tillåtna.

• Otillåten eller felaktig övervakning: Aktiv övervakning måste godkännas och utföras på ett vanligt sätt. Användare måste meddelas att de kan bli föremål för övervakning.