Kvalitet, dokumentation og standarder

Kvalitet i digital forensics kan koges ned til ét krav: En anden kvalificeret fagperson skal kunne gentage arbejdet og nå samme resultat, eller se præcis hvor og hvorfor resultatet afviger. Det kræver, at hvert skridt er dokumenteret, at værktøjerne er afprøvet, at fejl undervejs er noteret frem for skjult, og at konklusionerne er formuleret, så de ikke siger mere, end sporene kan bære.

Standarderne giver rammen. ISO/IEC 27037 beskriver identifikation, indsamling og bevaring. 27041 handler om, at metoderne er egnede, 27042 om analyse og fortolkning, og 27043 om processen som helhed. 27050 dækker eDiscovery, og NIST SP 800-86 giver en praktisk vejledning. Men en standard sikrer ikke kvalitet i sig selv. Det er dokumentationen i den konkrete sag, der afgør, om et resultat holder, når det bliver udfordret.

Standarder og rammer

ISO/IEC 27037 og NIST SP 800-86 · Hvad den dækker: Identifikation, indsamling og bevaring · Hvornår den er relevant: Ved enhver sikring · Læs mere: ISO/IEC 27037 og NIST SP 800-86
ISO/IEC 27041 · Hvad den dækker: At metoden er egnet til formålet · Hvornår den er relevant: Når værktøjer og metoder skal begrundes · Læs mere: ISO/IEC 27041
ISO/IEC 27042 · Hvad den dækker: Analyse og fortolkning · Hvornår den er relevant: Når konklusioner skal efterprøves · Læs mere: ISO/IEC 27042
ISO/IEC 27043 · Hvad den dækker: Processen i hændelsesundersøgelser · Hvornår den er relevant: Ved planlægning af en undersøgelse · Læs mere: ISO/IEC 27043
ISO/IEC 27050 · Hvad den dækker: eDiscovery · Hvornår den er relevant: Ved dokumentgennemgang i tvister · Læs mere: ISO/IEC 27050
ACPO-principperne · Hvad den dækker: Fire grundregler for digitale beviser · Hvornår den er relevant: Som kort tjekliste · Læs mere: ACPO-principperne
ENFSI Best Practice Manual · Hvad den dækker: Europæisk praksis for forensiske laboratorier · Hvornår den er relevant: Som reference for metode · Læs mere: ENFSI
ISO/IEC 17025 · Hvad den dækker: Akkreditering af laboratorier · Hvornår den er relevant: Når akkreditering diskuteres · Læs mere: ISO/IEC 17025

Om akkreditering er et krav i civile sager, er behandlet i Er akkreditering et krav i civile sager?.

Det, der skaber kvalitet i praksis

Arbejdsnoter undervejs. Hvad blev gjort, hvornår, med hvilket værktøj og version. Se Arbejdsnoter under undersøgelsen.
Verifikation af værktøjer. Test mod kendte data og kontrol af centrale fund med en anden metode. Se Verifikation af forensiske værktøjer og Testdatasæt og referencedata.
Dokumenterede afvigelser. Fejl og afvigelser skrives ned og vurderes, frem for at blive skjult. Se Afvigelser og fejl undervejs.
Fagfællebedømmelse. En anden fagperson gennemgår metode og konklusion før aflevering. Se Fagfællebedømmelse.
Metodiske værn mod bias. Afgrænsning af kontekstinformation og test af alternative forklaringer. Se Uvildighed i praksis.

Typiske svagheder i rapporter

Metoden mangler. Rapporten viser fund, men ikke hvordan de er fundet, så de ikke kan efterprøves.
Hashværdier mangler eller stemmer ikke. Uden verifikation kan det ikke vises, at analysen er sket på en korrekt kopi. Se Når hashværdien ikke stemmer.
Tidszonen er uklar. Tider uden angivelse af tidszone kan flytte hændelser en eller to timer. Se Sommertid og tidszoner.
Konklusionen er for stærk. Formuleringer som “beviser” eller “utvivlsomt”, hvor sporene kun understøtter. Se Konklusionsgrader.
Alternative forklaringer er ikke overvejet. Se Typiske tekniske spørgsmål til metoden.

En samlet teknisk tjekliste til en andens rapport står i Gennemgang af modpartens forensiske rapport.

Hvor man starter

Den, der skal opbygge en kvalitetsstyret praksis, kan begynde med Kvalitetsstyring i en lille forensic-praksis og derefter læse Forensically sound. Den, der skal skrive en rapport, bør læse Rapportskrivning i digital forensic og bruge skabelonen Indholdsfortegnelse til en forensic-rapport. Den, der skal vurdere en rapport fra andre, får mest ud af Gennemgang af modpartens forensiske rapport. Skabeloner til bevislog, hash-log og overdragelse ligger samlet på Tjeklister og skabeloner.

Når en rapport skal efterprøves

Second opinion på en IR- eller forensic-rapport Teknisk gennemgang af metode og konklusioner.

Standarder og kvalitet

Værktøjer i digital forensic: kategorier, krav og valg Forensiske værktøjer findes til sikring, analyse, mobil, cloud og rapport. Her er kategorierne, kravene til dokumentation, og hvordan valget begrundes.
ISO/IEC 27037 og NIST SP 800-86 forklaret ISO/IEC 27037 og NIST SP 800-86 nævnes oftest som grundlag for digital bevissikring. Her er, hvad de dækker, hvordan de adskiller sig, og brugen i praksis.
Verifikation af forensiske værktøjer: test, validering og kontrol af fund Hvordan ved man, at et forensisk værktøj viser det rigtige? Principperne for test og validering, kontrol af enkelte fund og dokumentation i rapporten.
ISO/IEC 27041: sikring af, at metoden er egnet ISO/IEC 27041 viser, hvordan det dokumenteres, at en forensisk metode er egnet: krav, validering, verifikation og dokumentation, der holder.
ISO/IEC 27042: analyse og fortolkning af digitale beviser ISO/IEC 27042 sætter rammen for analyse og fortolkning af digitale beviser: gentagelighed, kompetence og en rapport, der skiller fakta fra vurdering.
ISO/IEC 27043: principper og processer for hændelsesundersøgelser ISO/IEC 27043 samler hændelsesundersøgelsen i én procesmodel: parathed, igangsættelse, erhvervelse og undersøgelse samt de gennemgående processer.
ISO/IEC 27050: eDiscovery-standarden ISO/IEC 27050-serien beskriver eDiscovery fra identifikation til produktion. Her er delene, procesmodellen, og hvordan den bruges i danske civile sager.
ACPO-principperne: fire grundregler for digitale beviser ACPO-principperne er fire korte grundregler for digitale beviser. Her er indholdet, hvordan de holder i dag, og hvordan de bruges i civile sager.
ENFSI’s Best Practice Manual for digital forensics ENFSI’s Best Practice Manual for digital teknologi er en europæisk referenceramme for kvalitet. Her er indholdet, og hvordan den bruges i praksis.
ISO/IEC 17025 og digital forensics: hvad standarden kræver ISO/IEC 17025 er standarden for prøvnings- og kalibreringslaboratorier. Her er kravene, og hvorfor validering er svær at opfylde i digital forensics.
Er akkreditering et krav i civile sager? Skal en IT-sagkyndig være akkrediteret i en dansk civil sag? Hvad der i praksis afgør bevisværdien, og hvordan kvalitet dokumenteres uden akkreditering.
Forensically sound: hvad begrebet betyder i praksis Forensically sound betyder ikke, at intet ændres. Det betyder, at ændringer er nødvendige, kendte og dokumenterede, og at resultatet kan efterprøves.
Fagfællebedømmelse (peer review) af forensisk arbejde Fagfællebedømmelse af forensisk arbejde: forskellen på teknisk og administrativt review, hvad der kontrolleres, og en tjekliste før aflevering.
Afvigelser og fejl undervejs: sådan dokumenteres de Fejl under en forensisk undersøgelse sker. Det afgørende er, at afvigelsen registreres, vurderes og beskrives åbent, så resultatet kan efterprøves.
Testdatasæt og referencedata: sådan bygges en test Et testdatasæt med kendt facit viser, om et værktøj eller en metode finder det, der er der. Sådan designes, bygges, dokumenteres og genbruges testen.
Kvalitetsstyring i en lille forensic-praksis Kvalitetsstyring kræver ikke akkreditering. Sådan bygger en lille forensic-praksis procedurer, udstyrskontrol, afvigelseslog og review i passende omfang.
Forensic readiness teknisk: baseline for logning, opbevaring og tidssynkronisering En teknisk baseline for MSP’ens kunder: hvilke logs der slås til, hvor længe de gemmes, hvordan urene synkroniseres, og hvordan eksporten er klar.
Fra revisionsbevis til forensisk bevis Når IT-revisionens fund bliver en sag: hvorfor revisors udtræk og analyser sjældent holder som bevis, og hvordan kildeudtræk, hash og dokumentation sikres.
Forensic readiness-test: kan logningen bære en undersøgelse? Test af forensic readiness i praksis: skab kendte hændelser, find dem i logs, eksportér dem, verificér felter og tid, og mål den reelle opbevaring.
SWGDE’s vejledninger: hvad de dækker, og hvordan de bruges i civile sager SWGDE udgiver gratis best practices for sikring, analyse, værktøjstest og rapportering. Hvad dokumenterne dækker, og hvordan de bruges i civile sager.
NIST CFTT og CFReDS: offentlige værktøjstests og testbilleder NIST’s CFTT tester forensiske værktøjer mod offentlige krav, og CFReDS giver testdata med facit. Sådan læses rapporterne og bruges i egen validering.
ISAE 3402- og SOC 2-erklæringer og logdata Hvad en ISAE 3402- eller SOC 2-erklæring siger om de logs, I får udleveret af en leverandør, og hvor erklæringens omfang ikke dækker undersøgelsen.
NIST SP 800-101 om mobilforensik NIST SP 800-101 beskriver sikring, udtræk, analyse og rapport for mobiltelefoner. Hvad står der, hvad er forældet, og hvordan bruges den i en civil sag?
ISO/IEC 27035: hændelseshåndtering og bevis ISO/IEC 27035 beskriver håndtering af sikkerhedshændelser i fem faser. Her er delene, hvor beviset hører hjemme, og hvordan SOC’en omsætter det.
ISO/IEC 30121: forensic readiness som styringsramme ISO/IEC 30121 gør forensic readiness til et ledelsesansvar. Hvad standarden kræver, hvordan revisor og DPO tester den, og hvor den møder GDPR.

Rapport og retten

Rapportskrivning i digital forensic: struktur, sprog og efterprøvelighed En forensisk rapport skal kunne efterprøves og holde fakta og vurdering adskilt. Her er en struktur, en sikkerhedsskala og formuleringer, der holder.
Arbejdsnoter under undersøgelsen: hvad, hvornår og hvordan Løbende arbejdsnoter er grundlaget for rapporten og forklaringen i retten. Her er, hvad der skal noteres, hvornår, i hvilket format og med hvilket sprog.
Konklusionsgrader: verbale skalaer og likelihood ratio Hvor sikker er konklusionen? Sådan virker verbale skalaer og likelihood ratio i digital forensics, og hvorfor to forklaringer altid skal vurderes.
Gennemgang af modpartens forensiske rapport: teknisk tjekliste Sådan gennemgår du modpartens forensiske rapport teknisk: materiale og hash, sikring, værktøjer, tid, artefakter, alternative forklaringer og konklusioner.
Besvarelse af skønstemaer: den tekniske struktur Sådan besvares et skønstema teknisk: delspørgsmål, afgrænsning, svaret først, grundlag, metode, fund, vurdering og forbehold for hvert enkelt spørgsmål.
Teknisk forklaring i retten: hash, tidsstempler og logs for ikke-teknikere Sådan forklares hashværdier, tidsstempler, logs, IP-adresser og slettede filer i retten, med analogier der hjælper, og analogier der forvrænger.
Typiske tekniske spørgsmål til metoden De tekniske spørgsmål, en sagkyndig typisk får til metoden: værktøj, version, hash, sikring, tid, søgninger og fortolkning, og hvad der svarer på dem.
IR-rapporten som bevis: hvad mangler, når den skal bruges i en tvist? En IR-rapport skrives for at stoppe angrebet, ikke til en retssag. Her er, hvad der ofte mangler, når den skal bruges i en tvist, og hvordan det rettes.
Visualiseringer i forensiske rapporter: korrekte grafer og tidslinjer Sådan laves tidslinjer, aktivitetsgrafer, kort og netværksgrafer i en forensisk rapport, så skala, tidszone, udvælgelse og usikkerhed vises retvisende.
Teknisk adgang og fælles datasæt i syn og skøn Teknisk adgang i et IT-skøn: beviskopier fra begge parter, fælles hashmanifest, adgang til kørende systemer og dokumentation, som begge parter kan kontrollere.
Hvor lang tid tager en forensisk undersøgelse? Det afgør tidsforbruget Hvad afgør tidsforbruget i en forensisk undersøgelse? Faserne fra sikring til rapport, de faktorer, der trækker ud, og hvad IT kan gøre for at spare tid.
Engelsksprogede tekniske rapporter i internationale tvister Sådan skrives en engelsksproget forensisk rapport til en international tvist: terminologi, tid og datoer, erklæringer om uafhængighed og oversættelser.

Persondata og etik

Dataminimering i forensic: filtrér før, under eller efter sikring? Dataminimering i en forensisk undersøgelse: hvornår der skal filtreres, hvad fuldstændighed koster, og hvordan filtre og adgang dokumenteres teknisk.
Private data på arbejdsenheden: teknisk adskillelse under analysen Sådan adskilles private data teknisk i en forensisk analyse af en arbejdsenhed: filtre, profiler, logning og dokumentation af det, der ikke blev set.
Pseudonymisering og maskering i rapporter og produktioner Pseudonymisering og maskering i forensiske rapporter: teknikker, skjulte tekstlag og metadata, der afslører navne, og sporbarhed til originalen.
Særlige kategorier af persondata i et udtræk: teknisk håndtering Helbred, fagforening, CPR-numre og andre følsomme persondata dukker op i næsten alle udtræk. Sådan identificeres, afgrænses og beskyttes de teknisk.
Fund uden for opdraget: når analysen viser noget andet Hvad gør analytikeren, når en forensisk analyse viser noget uden for opdraget? Stop, registrering, melding og rapportering uden at udvide opgaven.
Uvildighed i praksis: metodiske værn i forensisk arbejde Uvildighed i forensisk arbejde er mere end fravær af bindinger. Konkurrerende hypoteser, afkræftende fund og adskilt kontekst er de metodiske værn.
Etiske dilemmaer i digital forensics Etiske dilemmaer i digital forensics: pres fra opdragsgiveren, tredjeparters privatliv, fortrolighed, grænsen for egen kompetence og data efter sagen.
Når IT bliver bedt om at undersøge en kollega Når ledelsen beder IT undersøge en kollega: hvorfor administratoradgang ikke er et mandat, hvad der skal logges, og hvornår IT stopper og sikrer i stedet.
DPO’ens tekniske tjekliste før en forensisk opgave Tekniske spørgsmål, DPO’en bør have svar på, før en forensisk undersøgelse begynder: kilder, filtre, adgangslog, opbevaring, tredjemandsdata og sletning.
Konsekvensanalyse for en forensisk undersøgelse: tekniske input Hvilke tekniske input en konsekvensanalyse for en forensisk undersøgelse kræver: dataflow, datakategorier, filtre, risici og foranstaltninger trin for trin.
Uberettigede opslag: teknisk analyse af adgangslogs i fagsystemer Sådan analyseres adgangslogs i fagsystemer teknisk ved mistanke om uberettigede opslag: logfelter, kontekst, falske positiver, eksport og dokumentation.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.