Sådan arbejder vi teknisk: sikring, hash, analyse og rapport

En forensisk konklusion er kun så stærk som det svageste led i kæden fra kilde til rapport. Siden her beskriver Nielco IT’s metode trin for trin i teknisk sprog: hvad der sker ved identifikation, sikring, verifikation, analyse, kontrol og rapportering, og hvilke dokumentationskrav hvert trin skal opfylde. Rammen er ISO/IEC 27037 for identifikation, indsamling, erhvervelse og bevarelse, suppleret af ISO/IEC 27041 og 27042 for metodens egnethed og fortolkningen. → ISO/IEC 27037 og NIST SP 800-86

1. Teknisk kommissorium

Opgaven starter med de spørgsmål, der skal besvares, oversat til tekniske hypoteser. “Har brugeren kopieret kundedata?” bliver til konkrete spørgsmål om USB-tilslutninger, LNK-filer, SharePoint-filaktivitet, CRM-eksportlog og mailtransport i et defineret tidsrum. Kommissoriet fastlægger kilder, tidsrum, personer og det, der bevidst holdes ude. Kan et spørgsmål ikke besvares med de kilder, der findes, står det i kommissoriet fra starten. → Teknisk kommissorium

2. Identifikation af datakilder

Før noget sikres, kortlægges kilderne: klienter, servere, mobilenheder, tenants, SaaS-systemer, netværkslogs, backup og de systemer, der ejes af leverandører. For hver kilde noteres ejer, administrator, licensniveau, opbevaringstid og eksportvej. Kortlægningen afgør rækkefølgen, for kilder med kort opbevaring eller høj flygtighed sikres først. → Identifikation af datakilder · Flygtighedsorden

3. Valg af sikringsmetode

Metoden vælges ud fra spørgsmålet, kilden og proportionaliteten:

Fysisk image af lagermedier via skrivebeskytter, i E01, AFF4 eller raw. → Diskformater
Logisk eller målrettet indsamling, når fuld kopi ikke er nødvendig eller ikke er mulig, for eksempel ved filshares, postkasser og krypterede volumener med kendt nøgle. → Fysisk, logisk eller målrettet sikring
Live response og RAM, når en kørende maskine rummer data, der forsvinder ved nedlukning. → Live response
Cloud-eksport via leverandørens API, eDiscovery- eller auditfunktioner med dokumentation af kommandoer, filtre og konto. → Cloud-forensic og API-eksport
Mobiludtræk efter de udtrækstyper, model, styresystem og lovlig adgang tillader. → Udtræk fra mobiltelefoner

Hvis en sikring nødvendigvis ændrer kilden, for eksempel fordi der skal logges på et kørende system, registreres hvert indgreb med tid, konto og kommando, så ændringen kan adskilles fra de oprindelige spor.

4. Hash og verifikation

Hvert image og hver eksport hashes ved erhvervelsen, typisk med SHA-256, og ofte med en ekstra algoritme til krydstjek. Imaget verificeres mod kilden, hvor det er teknisk muligt, og arbejdskopier verificeres mod masterkopien, før analysen begynder. Ved mobiludtræk og cloud-eksporter, hvor kilden ændrer sig og hashen ikke kan gentages mod den, hashes eksporten selv, og forskellen forklares i dokumentationen. → Hashalgoritmer · Hash ved mobil og cloud

5. Kæde af ansvar og opbevaring

Fra erhvervelsen føres en bevislog med enhedens identifikation, serienumre, hashværdier, værktøj og version, opbevaringssted og hver overdragelse. Masterkopien opbevares krypteret og adgangsbegrænset og bruges kun til ny verifikation. Analysen sker på arbejdskopier. → Chain of custody-loggen · Arbejdskopi og masterkopi

6. Analyse efter plan

Analysen følger en plan med hypoteser og alternative forklaringer, formuleret før resultaterne kendes. Artefakter fra flere kilder korreleres på en fælles tidsakse i UTC med registreret tidszone og eventuel urafvigelse. For hvert fund vurderes, om det skyldes en brugerhandling eller en systemproces som synkronisering, indeksering eller antivirus. → Analyseplan og hypoteser · Tidslinjeanalyse · Systemet eller brugeren?

7. Kontrol af værktøjer og fund

Værktøj og version noteres for hvert trin. Fund, som konklusionen hviler på, kontrolleres med et andet værktøj eller ved manuel parsing af rådata, og kendte parserbegrænsninger nævnes. Arbejdsnoter føres løbende, så en anden sagkyndig kan gentage analysen og nå samme resultat. Afvigelser fra planen dokumenteres med begrundelse. → Verifikation af værktøjer · Arbejdsnoter

8. Dataminimering

Private data og tredjemandsdata holdes ude af analysen, så vidt det tekniske spørgsmål tillader det, med filtre på tidsrum, kilder og søgetermer. Filtrene og deres effekt dokumenteres, så det kan ses, hvad der ikke er gennemgået. → Dataminimering i forensic

9. Rapport

Rapporten adskiller observationer i data fra fortolkning, angiver alle tidspunkter med tidszone og kilde, nævner alternative forklaringer og begrænsninger og bruger en konklusionsskala, så graden af sikkerhed er tydelig. Bilag indeholder hashværdier, værktøjsversioner og de rådata, konklusionerne bygger på. → Rapportskrivning · Konklusionsgrader

10. Afslutning

Ved opgavens afslutning aftales tilbagelevering, fortsat opbevaring eller sletning af beviskopier. Sletning dokumenteres med metode, dato og de hashværdier, der identificerer de slettede kopier. → Sikker sletning af beviskopier