{"id":5644,"date":"2024-02-15T16:15:53","date_gmt":"2024-02-15T15:15:53","guid":{"rendered":"https:\/\/bezpecnevofirme.eset.com\/sk\/?p=5644"},"modified":"2024-02-15T16:15:53","modified_gmt":"2024-02-15T15:15:53","slug":"kyberneticke-vysetrovanie-ako-digitalna-forenzna-analyza-odhaluje-pravdu","status":"publish","type":"post","link":"https:\/\/bezpecnevofirme.eset.com\/sk\/firemna-bezpecnost\/kyberneticke-vysetrovanie-ako-digitalna-forenzna-analyza-odhaluje-pravdu\/","title":{"rendered":"Kybernetick\u00e9 vy\u0161etrovanie: Ako digit\u00e1lna forenzn\u00e1 anal\u00fdza odha\u013euje pravdu?"},"content":{"rendered":"\n
\"BVF<\/figure>\n\n\n\n
<\/div>\n\n\n\n

V\u00a0tomto \u010dl\u00e1nku sa dozviete, ako funguje digit\u00e1lna forenzn\u00e1 anal\u00fdza – kybernetick\u00e1 odno\u017e kriminalistky – od\u00a0ur\u010dovania miesta \u010dinu cez\u00a0h\u013eadanie st\u00f4p a\u017e po\u00a0skladanie pr\u00edbehu, ktor\u00fd m\u00f4\u017eu n\u00e1jden\u00e9 d\u00e1ta vyrozpr\u00e1va\u0165.<\/em><\/p>\n\n\n\n

Rozv\u00edjaj\u00faca sa oblas\u0165 digit\u00e1lnej forenznej anal\u00fdzy zohr\u00e1va k\u013e\u00fa\u010dov\u00fa \u00falohu pri vy\u0161etrovan\u00ed \u0161irokej \u0161k\u00e1ly kybernetick\u00fdch zlo\u010dinov a\u00a0in\u00fdch incidentov z\u00a0oblasti digit\u00e1lnej bezpe\u010dnosti. V\u00a0na\u0161om technologicky orientovanom svete dokonca aj vy\u0161etrovanie \u201etradi\u010dn\u00fdch\u201c trestn\u00fdch \u010dinov<\/a> \u010dasto zah\u0155\u0148a prvok digit\u00e1lnych d\u00f4kazov, ktor\u00e9 je potrebn\u00e9 vyp\u00e1tra\u0165 a\u00a0zanalyzova\u0165.<\/p>\n\n\n\n

Umenie odha\u013eovania, anal\u00fdzy a interpret\u00e1cie digit\u00e1lnych d\u00f4kazov zaznamenalo zna\u010dn\u00fd n\u00e1rast najm\u00e4 pri vy\u0161etrovan\u00ed r\u00f4znych druhov podvodov a po\u010d\u00edta\u010dovej kriminality, da\u0148ov\u00fdch \u00fanikov, prenasledovania, zneu\u017e\u00edvania det\u00ed, kr\u00e1de\u017e\u00ed du\u0161evn\u00e9ho vlastn\u00edctva \u010di dokonca terorizmu. Okrem toho techniky digit\u00e1lnej forenznej anal\u00fdzy pom\u00e1haj\u00fa organiz\u00e1ci\u00e1m pochopi\u0165 rozsah a vplyv \u00fanikov \u00fadajov<\/a>, ako aj predch\u00e1dza\u0165 \u010fal\u0161\u00edm \u0161kod\u00e1m sp\u00f4soben\u00fdm t\u00fdmito incidentmi.<\/p>\n\n\n\n

Digit\u00e1lna forenzn\u00e1 anal\u00fdza m\u00e1 preto svoje miesto v r\u00f4znych situ\u00e1ci\u00e1ch vr\u00e1tane vy\u0161etrovania trestn\u00fdch \u010dinov, reakci\u00ed na incidenty, rozvodov\u00fdch a in\u00fdch s\u00fadnych konan\u00ed, pre\u0161etrovania pochyben\u00ed zamestnancov, boja proti terorizmu, odha\u013eovania podvodov a obnovy \u00fadajov.<\/p>\n\n\n\n

Po\u010fme si rozobra\u0165, ako presne forenzn\u00ed analytici vyhodnocuj\u00fa digit\u00e1lne zlo\u010diny, h\u013eadaj\u00fa stopy a\u00a0skladaj\u00fa pr\u00edbeh, ktor\u00fd m\u00f4\u017eu z\u00edskan\u00e9 \u00fadaje vyrozpr\u00e1va\u0165.<\/p>\n\n\n\n

1. Zhroma\u017e\u010fovanie d\u00f4kazov<\/h2>\n\n\n\n

Prv\u00fdm krokom je dosta\u0165 sa k\u00a0d\u00f4kazom. T\u00e1to f\u00e1za zah\u0155\u0148a identifik\u00e1ciu a\u00a0zhroma\u017e\u010fovanie zdrojov digit\u00e1lnych st\u00f4p, ako aj vytvorenie presn\u00fdch k\u00f3pi\u00ed inform\u00e1ci\u00ed, ktor\u00e9 by mohli s\u00favisie\u0165 s\u00a0incidentom. Je naozaj d\u00f4le\u017eit\u00e9 vyhn\u00fa\u0165 sa modifik\u00e1cii p\u00f4vodn\u00fdch d\u00e1t a\u00a0pomocou vhodn\u00fdch n\u00e1strojov a\u00a0zariaden\u00ed<\/a> vytvori\u0165 ich vern\u00e9 k\u00f3pie.<\/p>\n\n\n\n

Analytici potom dok\u00e1\u017eu obnovi\u0165 odstr\u00e1nen\u00e9 s\u00fabory alebo skryt\u00e9 diskov\u00e9 part\u00edcie, pri\u010dom nakoniec ve\u013ekostne vytvoria obraz rovn\u00fd disku. Vzorky ozna\u010den\u00e9 d\u00e1tumom, \u010dasom a \u010dasov\u00fdm p\u00e1smom by mali by\u0165 izolovan\u00e9 tak, aby boli chr\u00e1nen\u00e9 pred vonkaj\u0161\u00edmi vplyvmi, znehodnoten\u00edm a \u00famyselnou manipul\u00e1ciou. Fotografie a pozn\u00e1mky dokumentuj\u00face fyzick\u00fd stav zariaden\u00ed a ich elektronick\u00fdch s\u00fa\u010dast\u00ed \u010dasto pom\u00e1haj\u00fa poskytn\u00fa\u0165 \u010fal\u0161\u00ed kontext a pom\u00f4c\u0165 pochopi\u0165 podmienky, za ktor\u00fdch boli d\u00f4kazy zhroma\u017eden\u00e9.<\/p>\n\n\n\n

Po\u010das cel\u00e9ho procesu je d\u00f4le\u017eit\u00e9 dodr\u017eiava\u0165 pr\u00edsne opatrenia, ako je pou\u017e\u00edvanie rukav\u00edc, antistatick\u00fdch vreciek a Faradayov\u00fdch klietok. Faradayove klietky (schr\u00e1nky \u010di puzdr\u00e1) s\u00fa u\u017eito\u010dn\u00e9 najm\u00e4 pri zariadeniach, ktor\u00e9 s\u00fa citliv\u00e9 na elektromagnetick\u00e9 vlny, ako s\u00fa mobiln\u00e9 telef\u00f3ny, s cie\u013eom zaisti\u0165 integritu a d\u00f4veryhodnos\u0165 d\u00f4kazov a zabr\u00e1ni\u0165 po\u0161kodeniu alebo manipul\u00e1cii s d\u00e1tami.<\/p>\n\n\n\n

V\u00a0s\u00falade s\u00a0porad\u00edm zais\u0165ovania st\u00f4p a\u00a0\u00fadajov sa pri z\u00edskavan\u00ed vzoriek postupuje systematicky \u2013 od\u00a0najnest\u00e1lej\u0161\u00edch po najst\u00e1lej\u0161ie. Ako sa uv\u00e1dza v\u00a0dokumente Request for Comments (RFC) 3227<\/a> organiz\u00e1cie iETF (Internet Engineering Task Force), prv\u00fd krok zah\u0155\u0148a zhroma\u017e\u010fovanie potenci\u00e1lnych d\u00f4kazov po\u010dn\u00fac najdynamickej\u0161\u00edmi \u00fadajmi z\u00a0registrov a\u00a0vyrovn\u00e1vac\u00edch pam\u00e4t\u00ed a\u017e po\u00a0statick\u00e9 \u00fadaje v\u00a0arch\u00edvnych m\u00e9di\u00e1ch.<\/p>\n\n\n\n

2. Uchov\u00e1vanie d\u00e1t<\/h2>\n\n\n\n

S cie\u013eom vytvori\u0165 z\u00e1klady pre \u00faspe\u0161n\u00fa anal\u00fdzu musia by\u0165 zhroma\u017eden\u00e9 inform\u00e1cie chr\u00e1nen\u00e9 pred po\u0161koden\u00edm a manipul\u00e1ciou. Ako u\u017e bolo uveden\u00e9, samotn\u00e1 anal\u00fdza by sa nikdy nemala vykon\u00e1va\u0165 priamo na zaistenej vzorke; namiesto toho musia analytici vytvori\u0165 forenzn\u00e9 obrazy (alebo presn\u00e9 k\u00f3pie \u010di repliky) \u00fadajov, na ktor\u00fdch sa potom anal\u00fdza vykon\u00e1.<\/p>\n\n\n\n

T\u00e1to f\u00e1za sa preto to\u010d\u00ed okolo tzv. re\u0165azca starostlivosti, \u010do je d\u00f4kladne vypracovan\u00fd z\u00e1znam dokumentuj\u00faci umiestnenie a d\u00e1tum vzorky, ako aj to, kto presne s \u0148ou pri\u0161iel do styku. Analytici pou\u017e\u00edvaj\u00fa hashovacie techniky na jednozna\u010dn\u00fa identifik\u00e1ciu s\u00faborov, ktor\u00e9 by mohli by\u0165 u\u017eito\u010dn\u00e9 pre vy\u0161etrovanie. Priraden\u00edm jedine\u010dn\u00fdch identifik\u00e1torov k s\u00faborom prostredn\u00edctvom hashov sa vytv\u00e1ra digit\u00e1lna stopa, ktor\u00e1 pom\u00e1ha pri sledovan\u00ed a overovan\u00ed pravosti d\u00f4kazov.<\/p>\n\n\n\n

Stru\u010dne povedan\u00e9, t\u00e1to f\u00e1za je navrhnut\u00e1 tak, aby sa nielen chr\u00e1nili zozbieran\u00e9 \u00fadaje, ale prostredn\u00edctvom re\u0165azca starostlivosti aj vytvoril d\u00f4kladn\u00fd a\u00a0transparentn\u00fd r\u00e1mec, a\u00a0to v\u0161etko s\u00a0vyu\u017eit\u00edm pokro\u010dil\u00fdch hashovac\u00edch techn\u00edk, ktor\u00e9 zaru\u010duj\u00fa presnos\u0165 a\u00a0spo\u013eahlivos\u0165 anal\u00fdzy.<\/p>\n\n\n\n

3. Anal\u00fdza<\/h2>\n\n\n\n

Po zozbieran\u00ed \u00fadajov a zaisten\u00ed ich uchovania je \u010das prejs\u0165 k detailnej a technicky skuto\u010dne n\u00e1ro\u010dnej detekt\u00edvnej pr\u00e1ci. Do hry tu vstupuje \u0161pecializovan\u00fd hardv\u00e9r a softv\u00e9r, prostredn\u00edctvom ktor\u00e9ho sa vy\u0161etrovatelia pon\u00e1raj\u00fa do zhroma\u017eden\u00fdch d\u00f4kazov, aby vyvodili zmyslupln\u00e9 poznatky a z\u00e1very o vzniknutom incidente \u010di trestnom \u010dine.<\/p>\n\n\n\n

Existuj\u00fa r\u00f4zne met\u00f3dy a\u00a0techniky, ktor\u00fdmi sa m\u00f4\u017eu riadi\u0165. Re\u00e1lny v\u00fdber \u010dasto z\u00e1vis\u00ed od\u00a0povahy vy\u0161etrovania, sk\u00faman\u00fdch \u00fadajov, ako aj od\u00a0odbornosti, znalost\u00ed a\u00a0sk\u00fasenost\u00ed analytika v\u00a0danej oblasti.<\/p>\n\n\n\n

Digit\u00e1lna forenzn\u00e1 anal\u00fdza si naozaj vy\u017eaduje kombin\u00e1ciu technickej zdatnosti, vy\u0161etrovacieho talentu a pozornosti k detailom. Na zachovanie efekt\u00edvnosti vo vysoko dynamickej oblasti digit\u00e1lnej forenznej anal\u00fdzy musia analytici dr\u017ea\u0165 krok s v\u00fdvojom technol\u00f3gi\u00ed a kybernetick\u00fdch hrozieb.<\/p>\n\n\n\n

Presnos\u0165 a jasnos\u0165 toho, \u010do je vlastne potrebn\u00e9 n\u00e1js\u0165, s\u00fa rovnako d\u00f4le\u017eit\u00e9. \u010ci u\u017e ide o odha\u013eovanie \u0161kodliv\u00fdch aktiv\u00edt, identifik\u00e1ciu kybernetick\u00fdch hrozieb alebo podporu s\u00fadnych konan\u00ed, anal\u00fdza vych\u00e1dza z jasne definovan\u00e9ho cie\u013ea vy\u0161etrovania.<\/p>\n\n\n\n

V\u00a0tejto f\u00e1ze je be\u017enou praxou presk\u00famanie \u010dasov\u00fdch os\u00ed a\u00a0pr\u00edstupov\u00fdch protokolov. Je tak mo\u017en\u00e9 zrekon\u0161truova\u0165 jednotliv\u00e9 udalosti, ur\u010di\u0165 postupnos\u0165 akci\u00ed a\u00a0identifikova\u0165 anom\u00e1lie, ktor\u00e9 m\u00f4\u017eu nazna\u010dova\u0165 \u0161kodliv\u00fa aktivitu. Presk\u00famanie pam\u00e4te RAM je napr\u00edklad ve\u013emi d\u00f4le\u017eit\u00e9 na\u00a0identifik\u00e1ciu nest\u00e1lych \u00fadajov, ktor\u00e9 nemusia by\u0165 ulo\u017een\u00e9 na\u00a0disku. M\u00f4\u017ee \u00eds\u0165 o\u00a0akt\u00edvne procesy, \u0161ifrovacie k\u013e\u00fa\u010de a\u00a0in\u00e9 volatiln\u00e9 inform\u00e1cie d\u00f4le\u017eit\u00e9 pre vy\u0161etrovanie.<\/p>\n\n\n\n

4. Dokument\u00e1cia<\/h2>\n\n\n\n

V\u0161etky akcie, artefakty, anom\u00e1lie a ak\u00e9ko\u013evek vzorce identifikovan\u00e9 pred touto f\u00e1zou je potrebn\u00e9 \u010do najpodrobnej\u0161ie zdokumentova\u0165. Dokument\u00e1cia by mala by\u0165 dostato\u010dne detailn\u00e1 na to, aby in\u00fd forenzn\u00fd expert mohol anal\u00fdzu zopakova\u0165.<\/p>\n\n\n\n

Dokument\u00e1cia met\u00f3d a n\u00e1strojov pou\u017eit\u00fdch po\u010das vy\u0161etrovania je k\u013e\u00fa\u010dov\u00e1 z h\u013eadiska transparentnosti a reprodukovate\u013enosti. Umo\u017e\u0148uje ostatn\u00fdm overi\u0165 si v\u00fdsledky a pochopi\u0165 pou\u017eit\u00e9 postupy. Vy\u0161etrovatelia by mali zdokumentova\u0165 aj d\u00f4vody svojich rozhodnut\u00ed, najm\u00e4 ak narazia na neo\u010dak\u00e1van\u00e9 probl\u00e9my. Od\u00f4vodnia tak opatrenia prijat\u00e9 po\u010das vy\u0161etrovania.<\/p>\n\n\n\n

In\u00fdmi slovami, d\u00f4kladn\u00e1 dokument\u00e1cia nie je len formalitou \u2013 je z\u00e1kladn\u00fdm aspektom zachovania d\u00f4veryhodnosti a\u00a0spo\u013eahlivosti cel\u00e9ho procesu vy\u0161etrovania. Analytici musia dodr\u017eiava\u0165 osved\u010den\u00e9 postupy s\u00a0cie\u013eom zaisti\u0165 jasnos\u0165, d\u00f4kladnos\u0165 a\u00a0s\u00falad dokument\u00e1cie s\u00a0pr\u00e1vnymi a\u00a0forenzn\u00fdmi normami.<\/p>\n\n\n\n

5. Vytv\u00e1ranie spr\u00e1v<\/h2>\n\n\n\n

V tejto f\u00e1ze je \u010das zhrn\u00fa\u0165 zistenia, postupy a z\u00e1very vy\u0161etrovania. \u010casto sa najprv vypracuje spr\u00e1va, v ktorej sa jasne a stru\u010dne uved\u00fa k\u013e\u00fa\u010dov\u00e9 inform\u00e1cie bez toho, aby sa zach\u00e1dzalo do technick\u00fdch podrobnost\u00ed.<\/p>\n\n\n\n

Potom vznikne tzv. technick\u00e1 spr\u00e1va, v ktorej sa podrobne op\u00ed\u0161e vykonan\u00e1 anal\u00fdza, zd\u00f4raznia sa techniky a v\u00fdsledky, av\u0161ak vynechaj\u00fa sa n\u00e1zory.<\/p>\n\n\n\n

Typick\u00e1 spr\u00e1va z oblasti digit\u00e1lnej forenznej anal\u00fdzy:<\/p>\n\n\n\n