Szolgáltatás · IT-forenzika
Fájlrendszereket, rendszernaplókat, alkalmazás-adatbázisokat és fiókaktivitásokat vizsgálunk számítógépeken, szervereken és adathordozókon. A cél, hogy a technikailag hozzáférhető adatokból megbízható idővonal álljon össze, és egy világos kérdésre válasz szülessen. Korlátot jelentenek a felülírt területek, a csak rövid ideig megőrzött naplók és a hozzáférés nélküli titkosított adatok.
Az elején a kérdés áll, nem az eszköz. Az, hogy mikor másoltak egy fájlt pendrive-ra, használták-e kívülről egy fiókot, vagy ki módosított utoljára egy táblázatot, meghatározza, mely adatforrások egyáltalán relevánsak. Csak ezután döntjük el, mely rendszereket rögzítjük.
Elsősorban fájlrendszereket és időbélyegeiket, rendszer- és eseménynaplókat, alkalmazás-adatbázisokat, felhasználói fiókokat, valamint külső adathordozók és felhőtárhelyek nyomait. Hogy ezek közül mit értékelünk ki, az a kérdéstől és attól függ, mi maradt meg a rögzített rendszeren.
A létrehozás, módosítás és hozzáférés időbélyegeit vizsgáljuk. Ha több időbélyeg-készlet eltér egymástól, azt külön leírjuk, és nem értelmezzük elhamarkodottan.
A naplók be- és kijelentkezéseket, szolgáltatásokat, frissítéseket és hibaállapotokat rögzítenek. Megmutatják, mikor használtak egy rendszert, de a rendszerek csak korlátozott ideig őrzik meg őket.
Megvizsgáljuk, melyik fiók volt bejelentkezve, mely külső eszközök csatlakoztak, és milyen szinkronizációs adatok maradtak – amennyiben erre jogosultság és hozzáférés van. Egy fiók bejelentkezést igazol, nem pedig egy konkrét személyt.
A rögzítés az illékonyság sorrendjében zajlik: ha a helyzet engedi, előbb a futó rendszer állapota, utána írásvédetten az adathordozó. A rögzített állományról ellenőrző összegek készülnek, így a későbbi változás kimutatható lenne. Lehetőség szerint nem az eredetin, hanem ellenőrzött munkamásolaton dolgozunk.
Az ellenőrző összeg azt igazolja, hogy a rögzített állomány a rögzítés óta nem változott. A rögzítés előtti állapotról és a jogi felhasználhatóságról önmagában nem mond semmit.
Az elemzés során az egyes leleteket idővonallá rendezzük. Egyetlen időbélyeg keveset mond; egy megállapítás akkor megalapozott, ha több független forrás is alátámasztja. Ha a források ellentmondanak egymásnak, azt a dokumentációban megnevezzük, és nem simítjuk el. A nyitva maradt kérdéseket kifejezetten nyitottként jelöljük.
A megbízás előtt írásban rögzítjük, milyen kérdésre keresünk választ, mely adatforrásokat vizsgáljuk, milyen időszakra, hogyan történik az átadás, és milyen formában készül a dokumentáció. Ha az elemzés közben új kérdések merülnek fel, a terjedelem bővítését külön egyeztetjük.
A kérdést, a vizsgált adatforrásokat, a rögzítést ellenőrző összegekkel, az alkalmazott eszközöket és módszereket, a technikai megállapításokat, azok szakmai értékelését, valamint a korlátokat és a nyitva maradt kérdéseket.
Az eszközök számától és típusától, az adatmennyiségtől, az adatok hozzáférhetőségétől, a kérdés összetettségétől és a dokumentáció terjedelmétől. A díjazást a megbízás előtt egyeztetjük.
Budapesti és közép-magyarországi vállalatok, ügyvédi irodák és magánszemélyek számára külön oldalon foglaltuk össze a leggyakoribb kérdéseket, a mobiltelefon- és kémprogram-vizsgálatot, valamint a megbízás menetét.
GYIK
A kiértékelés a rögzített másolatokon történik krefeldi vizsgálati helyiségeinkben, vagy technikai alkalmasság esetén a München melletti Vaterstettenben működő forenzikus laborunkban. Alkalmas esetekben, előzetes megállapodás alapján helyszíni rögzítés is lehetséges.
A dokumentáció nyomon követhetően rögzíti a módszereket és a megállapításokat, és alapul szolgálhat a további jogi értékeléshez. A felhasználhatóságról azonban az adott eljárás szabályai és az eljáró szervek döntenek; ezt előre nem tudjuk garantálni.
Ez attól függ, hogy a törölt területeket felülírták-e, és titkosított-e az adathordozó. Előzetesen megmondjuk, mi várható reálisan; teljes helyreállítást nem ígérünk.
Az egyeztetés és a kommunikáció magyar, német vagy angol nyelven is lehetséges.
