Τεχνική Νομοθεσία Για Μηχανικούς Πληροφορικής/Μέρος ΙΙ/Computer Forensic

ΑΝΑΚΤΗΣΗ ΚΑΙ ΑΝΑΛΥΣΗ ΨΗΦΙΑΚΩΝ ΠΕΙΣΤΗΡΙΩΝ (Computer Forensic )

Ορισμός

Η ανάλυση ψηφιακών πειστηρίων, αποτελεί έναν επιστημονικό κλάδο, που  πρωτίστως, ασχολείται με την έρευνα των τεχνολογικών μέσων ώστε να καταστούν πειστήρια  που να μπορούν να αποδείξουν  την ύπαρξη πληροφοριακού εγκλήματος.

Πρόκειται για μια πολύ σημαντική και δύσκολη δουλειά, καθώς τα περισσότερα εγκλήματα που συμβαίνουν, αφορούν και σε  ένα από τα ψηφιακά μέσα, όπως,Cd, usb, mails.

Τι είναι η ανάλυση του πληροφοριακού εγκλήματος;

Στηρίζεται στην εύρεση, την ανάλυση και την αποσαφήνιση των αιτιών που συνάπτουν μια εγκληματική ενέργεια.

Αυτό συμβαίνει με τρόπο μεθοδικό και  από ειδικούς αναλυτές της Πληροφορικής  που εξειδικεύονται στην πραγματοποίηση ερευνών ώστε να  μετατρέπουν πάσης φύσεως δεδομένα και στοιχεία σε αποδείξεις που να μπορούν να αξιοποιηθούν στα νομικά δικαστήρια.

Τι μπορεί να περιλαμβάνει;

Forensics_and_explosives_class

Τα εγκλήματα που μπορούν να εντοπιστούν και να ερευνηθούν είτε έχουν διαπραχθεί  με χρήση βίας είτε όχι, είναι:

• Απάτη ή κλοπή  μέσω Διαδικτύου (Internet piracy)
• Παρακολούθηση (tracking)
• Παιδική Πορνογραφία (child pornography)
• Διακίνηση παράνομων ουσιών
• Κατασκευή ιών και διάδοση τους  στο Internet

Τα βήματα της  διαδικασίας  που ακολουθούνται προκειμένου οι ειδικοί να εξιχνιάσουν μια υπόθεση εγκλήματος, είναι τα εξής:

1. Εντοπισμός: Κατά το βήμα αυτό, συλλέγονται όλα τα στοιχεία που θα μπορούσαν να αποδείξουν την απάτη καθώς και όλα τα αποθηκευτικά μέσα που ανήκουν σε έναν Η/Υ.
2. Εξακρίβωση: Κατά τη φάση αυτή, με χρήση κατάλληλων εργαλείων ανακτώνται προσωπικές πληροφορίες και στοιχεία που θα μπορούσαν να αξιοποιηθούν.
3. Αξιολόγηση: Είναι το στάδιο κατά το οποίο, οι πληροφορίες εκτιμώνται ξεχωριστά για το πώς θα μπορούσαν να χρησιμοποιηθούν  στο βαθμό που θα καταστούν χρήσιμες.
4. Παρουσίαση: Στο τελευταίο στάδιο, παρουσιάζονται όλες οι πληροφορίες που έχουν συλλεχθεί και  καταγράφονται, αφού αποτελούν τα αποδεικτικά στοιχεία.

Τι είναι οι ψηφιακές αποδείξεις (Digital Evidence);

Ως ψηφιακές αποδείξεις ορίζονται, όλα τα δεδομένα που αντλούνται από ψηφιακά μέσα όπως, αρχεία υπολογιστή (κρυφά και μη), βάσεις δεδομένων, ιστορικό υπολογιστή,cookies, προσωρινά αρχεία, υλικό όπως, ήχος, φωτογραφίες, βίντεο, mails, αντίγραφα ασφαλείας (backups) κλπ.

Αυτές οι αποδείξεις που συλλέγονται, πρέπει να είναι σε κατανοητή μορφή ή να μπορούν να αναλυθούν από ειδικούς του κλάδου.

Τι είναι οι φυσικές αποδείξεις (physical evidence);

Οποιασδήποτε απόδειξη που ανήκει στο χώρο όπου διαπράχθηκε η πράξη, η οποία καλείται φυσική σκηνή, ανήκει στην κατηγορία των φυσικών αποδείξεων.

Συλλέγονται με αρκετή προσοχή και σειρά, αφού εκείνες θα βοηθήσουν στην έναρξη της έρευνας.

Τέτοιες αποδείξεις μπορεί να είναι, αντικείμενα, συσκευές,σημειώσεις, κλπ.

Τι είναι το περιστατικό (Incident);

Κατά το επίπεδο αυτό της έρευνας, μπορεί να κληθεί για βοήθεια, εξειδικευμένο προσωπικό, καθώς οι πληροφορίες που υπάρχουν σε έναν υπολογιστή, να χρειάζονται ειδικές ενέργειες προκειμένου να συγκεντρωθούν, όπως καταγραφή της κίνησης του δικτύου, αντιγραφή του σκληρού δίσκου, παρακολούθηση  αρχείων προγραμμάτων και οτιδήποτε άλλο σχετίζεται με υπολογιστή.

Τι είναι το ψηφιακό αντικείμενο (digital object);

Ως ψηφιακό αντικείμενο ορίζεται η συγκέντρωση των δεδομένων  στα ψηφιακά μέσα, όπως για παράδειγμα  όλα τα δεδομένα που περιέχονται στον σκληρό δίσκο.

Όλα τα ψηφιακά αντικείμενα  μπορούν να χαρακτηριστούν μοναδικά  εξαιτίας των γνωρισμάτων τους, όπως ο συγγραφέας ενός αρχείου και οι λεπτομέρειες της δημιουργίας του.

Τι είναι το ψηφιακό γεγονός (digital event);

Το ψηφιακό γεγονός  συμβαίνει όταν προκαλείται  μετατροπή της κατάστασης ενός ψηφιακού αντικειμένου.

Οι αλλαγές που συμβαίνουν αφορούν είτε φυσικές είτε ψηφιακές τροποποιήσεις  που οδηγούν σε κάποια αποτελέσματα.

Επιπλέον, οποιασδήποτε αλλαγή της κατάστασης του ψηφιακού αντικειμένου  αποτελεί την απόδειξη  του συμβάντος.

Τι είναι η έρευνα (Investigation)

Κάθε υπόθεση που αφορά ένα συμβάν ή έγκλημα, θα πρέπει να προηγηθεί η έρευνα, κατά την οποία λαμβάνοντας δείγματα απαντώνται βασικά ερωτήματα σχετικά με την υπόθεση.

Διαχωρισμός πληροφοριών

Όταν οι πληροφορίες και τα δεδομένα που συλλέγονται, προέρχονται από μια ενεργοποιημένη συσκευή, καλούνται ευμετάβλητα στοιχεία (volatile) ενώ όλα τα υπόλοιπα μη-ευμετάβλητα (non-volatile).

-Ως ευμετάβλητα στοιχεία  ορίζονται τα εξής:

• Πληροφορίες Διαδικτύου - Μεταξύ του χρήστη και του συστήματος.
• Εκτελούμενες διαδικασίες και λειτουργίες - Προγράμματα που είναι ενεργά σε ένα υπολογιστή.
• Χρήστες -  Όλοι όσοι βρίσκονται εντός, εκείνη τη στιγμή (Logged).
• Αρχεία- Κάθε αρχείο που υπάρχει αποθηκευμένο στον υπολογιστή. 

-Ως μη-ευμετάβλητα στοιχεία ορίζονται τα εξής : 

• Ρυθμίσεις συστήματος (configuration).
• Πληροφορίες, ρυθμίσεις και άλλες ενέργειες που έγιναν από προγράμματα και οι οποίες εξάγονται από τα αντίγραφα ασφαλείας.

Διαχείριση των αποδείξεων (Handling Evidence)

Κατά το στάδιο αυτό, πριν ξεκινήσει η έρευνα, είναι πολύ σημαντικό οι πληροφορίες  που θα συλλεχθούν να είναι πραγματικές, αξιόπιστες, αδιαμφισβήτητες και αναλλοίωτες,   

δηλαδή να μην έχουν υποστεί καμία επεξεργασία μέχρι και την καταγραφή τους.  

Αποδείξεις ή άλλα στοιχεία που τα συνοδεύουν, εάν έχουν αλλοιωθεί δε γίνονται αποδεκτά.

Αν  οι αποδείξεις εξάγονται  από υπολογιστή, συνίσταται η λήψη μέτρων προστασίας από ιούς (antivirus).

Έναρξη των ερευνών (Initiating An Investigation)

Η αρχή  της συγκέντρωσης των πληροφοριών θα πρέπει να γίνεται με λεπτομέρεια  και σειρά.

Οι πληροφορίες και τα δεδομένα θα πρέπει να συγκεντρώνονται και να ταξινομούνται βάση του χρόνου που έλαβε χώρα το περιστατικό.

Συγκεκριμένα, λαμβάνονται υπόψη, τα mails που ανταλλάχτηκαν, αρχεία που αποθηκεύθηκαν, η δημιουργία αντιγράφων ασφαλείας (backups), η κίνηση του Διαδικτύου και η σύλληψη TCP και  UDP πακέτων, καθώς πιθανή ένδειξη επικάλυψης ενός πακέτου μπορεί να είναι ύποπτο.  

Ανάκτηση διαγεγραμμένων αρχείων

Σε ορισμένα συστήματα γίνεται εφικτό να ανακτηθούν πλήρως ή εν μέρει αρχεία που έχουν διαγραφεί ή ακόμη και να βρεθούν στοιχεία γύρω από αυτό.

Όταν στέλνουμε αρχεία στον κάδο ανακύκλωσης και θεωρούμε ότι διαγράφηκαν, μερικά από τα πιο γνωστά  συστήματα αρχείων έχουν τη δυνατότητα να τα επαναφέρουν.

• FAT: Στο συγκεκριμένο σύστημα αρχείων, μπορούν να συμβούν μικρές τροποποιήσεις ώστε να δοθεί η εντύπωση ότι το αρχείο δεν υπάρχει πια στο σύστημα, ενώ στην πραγματικότητα αυτό που γίνεται είναι μετονομασία του αρχείου και ύστερα απελευθερώνει τη μνήμη στον ελεύθερο χώρο του σκληρού δίσκου.

    Πληροφορίες για το διαγεγραμμένο αρχείο σχετικά με την ημερομηνία που τελέστηκε η διαγραφή και τη θέση του στο δίσκο, παρέχει ο φάκελος  INFO,όπου μπορεί να αντληθούν πληροφορίες.  

• NTFS: Η διαδικασία εδώ, είναι κάπως πιο εύκολη από ότι είναι στο σύστημα FAT, καθώς οι πληροφορίες που αποκαλύπτουν την προέλευση του αρχείου, βρίσκονται σε εμφανή χώρο και δε χρειάζεται να τις μαντέψει κανείς.

Η διαδικασία που πραγματοποιείται έπειτα από μια διαγραφή είναι η εξής:ο κατάλογος  Master File Table,που συνδέεται με το σύστημα NTFS,συλλέγει τις πληροφορίες των διαγεγραμμένων αρχείων όπως και μια Βάση Δεδομένων, αυτό σημαίνει ότι κάθε πληροφορία είναι προσβάσιμη για όλους τους φακέλους του υπολογιστή.

Αποτελέσματα του περιστατικού (Incidence Response)

Σε αυτό το επίπεδο της έρευνας, θα πρέπει να διαχωρίζονται ποιες πληροφορίες αποτελούν τις αποδείξεις και να διαφυλάσσονται.

Επανεξετάζονται όλες οι κινήσεις που συνέβησαν στο σύστημα.

Δημιουργείται αντίγραφο του σκληρού δίσκου, χωρίς αλλαγή των ήδη υπαρχόντων δεδομένων.

Γίνεται  εγκατάσταση εργαλείων για την παρακολούθηση της κίνησης του δικτύου (sniffers) τα οποία, σύμφωνα με ορισμένες ρυθμίσεις, καταγράφουν  σε αρχείο τα πακέτα που είναι περισσότερο ύποπτα. 

Στο τέλος, οι αποδείξεις απογράφονται και γίνεται η παράδοση τους.

Το μοντέλο Forensics Process

Το συγκεκριμένο μοντέλο χρησιμοποιείται από το Υπουργείο Οικονομικών των ΗΠΑ.

Ορίζει 4 φάσεις, οι οποίες πρέπει να ακολουθούντα κατά τις έρευνες και είναι οι εξής:

• Η Φάση της Συλλογής

Τα δεδομένα συλλέγονται, καταγράφονται, ταξινομούνται.

• Η Φάση της Αξιολόγησης

   Τα δεδομένα αξιολογούνται  πλήρως ως προς την αξιοπιστία τους.

• Η Φάση της εξέτασης

   Τα αποτελέσματα που προκύπτουν εξετάζονται και αξιολογούνται.

• Η Φάση της Συσχέτισης

Το τελικό στάδιο περιλαμβάνει την γνωστοποίηση  όσων έχουν προκύψει  στις προηγούμενες φάσεις.

Το μοντέλο Abstract Digital Forensics

Σύμφωνα με το συγκεκριμένο μοντέλο, η διαδικασία που θα πρέπει να  ακολουθείται είναι:

• Αποδοχή
• Σχεδιασμός
• Καθορισμός των Στόχων
• Διαφύλαξη
• Συλλογή
• Αξιολόγηση
• Διαχωρισμός
• Έκθεση
• Επιστροφή στοιχείων στον κάτοχο

Το μοντέλο Integrated Digital Investigation

Είναι διαφορετικό από τα προηγούμενα μοντέλα καθώς χρησιμοποιεί άλλου τύπου έννοιες, γύρω από το έγκλημα.

Στην προκειμένη περίπτωση, αναφέρει ότι το αντικείμενο όπου τελέστηκε το έγκλημα αποτελεί τη  φυσική σκηνή του εγκλήματος σε μια ψηφιακή έρευνα.

Εφαρμόζεται σε όλες τις κατηγορίες εγκλήματος, οπουδήποτε έχει συμβεί (εταιρεία, οργανισμός, οικία).

Περιλαμβάνει τις εξής φάσεις:

• Η Φάση της εγρήγορσης

• Η Φάση της επέκτασης

• Φάσεις εξέτασης των φυσικών και ψηφιακών σκηνών εγκλήματος.

• Η Φάση της εξέτασης εν συντομία

Anti – Forensics

Ο όρος anti-forensics, όπως υποψιάζεται κανείς από την ονομασία, είναι η ακριβώς αντίστροφη διαδικασία του Forensic.

Δηλαδή, δεν ασχολείται με την προσπάθεια να αποκαλυφθούν τα στοιχεία που αποτελούν τις αποδείξεις  αλλά αντιθέτως, να κρύψουν ο,τι  συνδέεται με μια υπόθεση, προκειμένου να μην εξεταστούν ποτέ από τους ειδικούς.

Σύμφωνα με τους δημιουργούς της τεχνικής Anti-Forensics, Liu και Brown,οι οποίοι εξηγούν την τεχνική διεξοδικά, είναι:

• Να μη γίνεται δυνατή η ανίχνευση των πληροφοριών.

• Να παρεμποδίζεται η διαδικασία της έρευνας.

• Να δαπανείται περισσότερος χρόνος από αυτός που χρειάζεται στην πραγματικότητα.

• Να δημιουργούνται ασάφειες ως προς την εγκυρότητα των πληροφοριών, μαρτυρίων κλπ.

Μέθοδοι απόκρυψης πληροφοριών (Hiding Data)

Η απόκρυψη των δεδομένων, που μπορεί να συμβεί αρκετά εύκολα στους υπολογιστές, ιδίως αν υπάρχει κάποιος συγκεκριμένος στόχος, μετατρέπει όλα  τα αρχεία σε κρυφά και δε γίνονται ορατά χωρίς τη χρήση ειδικών μεθόδων.

• Κρυπτογράφηση: Υπάρχουν πολλά διαδικτυακά εργαλεία για να το καταφέρει κανείς αυτό.

Με χρήση κλειδιού, μόνο ο κάτοχος του θα μπορεί να διαβάσει τα δεδομένα, τα οποία μετατρέπονται σε μη αναγνώσιμη μορφή.

• Στεγανογραφία: Η τεχνική αυτή είναι ιδιαίτερα δύσκολη στην αποκάλυψη της, μιας που προβλέπει την απόκρυψη δεδομένων και πληροφοριών μέσα σε άλλες εικόνες.

Όμως, δεν είναι ιδιαίτερα γνωστή αφού θα πρέπει να κατέχει κανείς κατάλληλες γνώσεις και να είναι πολύ προσεκτικός με αυτό.

Στο σκληρό δίσκο

Δημιουργία κρυφού χώρου (partition) μέσα στο δίσκο.

• Slack Space - Ο κενός χώρος στο δίσκο, που δημιουργείται από υπολείμματα αρχείων, μπορεί να χρησιμοποιηθεί, για να αποκρύψουν νέα αρχεία, αφού αυτός ο χώρος δε γίνεται αντιληπτός άμεσα.

• Αποθήκευση αρχείων  ως  .dll,  μορφή που δεν ανοίγει με κάποιο από τα συνήθη προγράμματα  αλλά μόνο με ειδικές εφαρμογές  στο Διαδίκτυο.

• Κωδικοποίηση δεδομένων: Προγράμματα που υπάρχουν  στο Internet, μπορούν να μετατρέψουν το αρχείο ή όσα αρχεία θέλουμε σε δυσανάγνωστη μορφή.

Αυτό μπορεί να γίνει με έναν hex editor σε πολύ σύντομο χρόνο.

Οργανισμοί για την καταπολέμηση του ηλεκτρονικού εγκλήματος

 Μια διεθνής προσπάθεια αποτελεί η σύσταση αυτών των οργανισμών που έχουν ως στόχο την εξάλειψη του φαινομένου σε παγκόσμιο επίπεδο.

CERT (Computer Emergency Response Team)

Το κέντρο έρευνας  και ανάπτυξης με έδρα το Πανεπιστήμιο του PitsSburgh, δραστηριοποιείται σε ζητήματα πολύ σοβαρά, όπως πριν πολλά χρόνια με την κατασκευή του ιού Morris

(Μορρις),με ομάδα εμπειρογνωμόνων για την αντιμετώπιση των προβλημάτων.

FIRST (Forum of Incident Response and Security Teams)[1]

Είναι ένας παγκόσμιος οργανισμός που μπορεί να διαχειριστεί αποτελεσματικά τους κινδύνους ή να ληφθούν μέτρα για την άμεση αντιμετώπιση ενός συμβάντος.

Συνεργάζεται με πολλά πανεπιστήμια και εταιρείες σε όλο τον κόσμο ώστε να μπορεί να προσφέρει περισσότερες άμεσες λύσεις σε όλα τα προβλήματα.

Interpol

Ο πλέον γνωστός οργανισμός  διεθνώς στην καταπολέμηση του ηλεκτρονικού εγκλήματος είναι η Interpol.

Η έδρα της βρίσκεται στη Λυών της Γαλλίας και διατηρεί γραφεία σε 7 χώρες.

Με πληθώρα υποθέσεων και πολλούς έμπειρους, εξειδικευμένους και ικανούς συνεργάτες σε διάφορες χώρες, οι οποίοι καλούνται να προσφέρουν την άμεση βοήθεια τους στα ζητήματα επιβολής του Νόμου.

Ο στόχος της υπηρεσίας είναι να αντιμετωπίσει εγκαίρως όλα τα εγκλήματα που συμβαίνουν διεθνώς.  

ΒΙΒΛΙΟΓΡΑΦΙΑ

1. http://www.tictac.gr/%CF%84%CE%B9-%CE%B5%CE%AF%CE%BD%CE%B1%CE%B9-%CF%84%CE%B1-%CF%88%CE%B7%CF%86%CE%B9%CE%B1%CE%BA%CE%AC-%CF%80%CE%B5%CE%B9%CF%83%CF%84%CE%AE%CF%81%CE%B9%CE%B1
2. http://www.ct.aegean.gr/people/kalloniatis/Privacy_Intellectual_Property/Cloud_Forensics.pdf
3. http://www.ijitee.org/attachments/File/v2i5/E0711042413.pdf
4. http://digilib.lib.unipi.gr/dspace/bitstream/unipi/2534/1/Boukouvala.pdf
5. http://www.pcstats.com/articleview.cfm?articleid=1583&page=3
6. http://eurydice.lib.aegean.gr/_original_/a11796/file0.pdf
7. http://simson.net/clips/academic/2007.ICIW.AntiForensics.pdf
8. https://el.wikipedia.org/wiki/%CE%99%CE%BD%CF%84%CE%B5%CF%81%CF%80%CF%8C%CE%BB
9. Computer Forensics (ppt) - Bassel Kateeb   & Tim Altimus
10. [Διπλωματική Εργασία] Computer - Internet Forensics - Τεχνική και Νομική Διάσταση, Πανεπιστήμιο Αιγαίου, Τμήμα Μηχανικών Πληροφοριακών & Επικοινωνιακών Συστημάτων του φοιτητή Μαραγγού Νικολάου, Καρλόβασι, 2011
11. Σημειώσεις  μαθήματος Τεχνικής Νομοθεσίας