Что такое цифровая криминалистика? Цифровая криминалистика — это практика идентификации, получения и анализа электронных доказательств. Сегодня почти вся преступная деятельность имеет элемент цифровой криминалистики, и эксперты в этой области оказывают важную помощь полицейским расследованиям. Цифровые судебные данные часто используются в судебных разбирательствах.

Важной частью цифровой криминалистики является анализ предполагаемых кибератак с целью выявления, смягчения и искоренения киберугроз. Это делает цифровую криминалистику важной частью процесса реагирования на инциденты. Цифровая криминалистика также полезна после атаки, предоставляя информацию, необходимую аудиторам, юридическим группам или правоохранительным органам.

Электронные доказательства могут быть собраны из множества источников, включая компьютеры, мобильные устройства, устройства удалённого хранения данных, устройства интернета вещей (IoT) и практически любую другую компьютеризированную систему.

Это часть обширной серии руководств по информационной безопасности.

Почему цифровая криминалистика важна? Обычно считается, что цифровая криминалистика ограничивается цифровыми и вычислительными средами. Но на самом деле она оказывает гораздо большее влияние на общество. Поскольку компьютеры и компьютеризированные устройства в настоящее время используются во всех аспектах жизни, цифровые доказательства стали критически важными для раскрытия многих видов преступлений и юридических вопросов, как в цифровом, так и в физическом мире.

Все подключенные устройства генерируют огромные объемы данных. Многие устройства регистрируют все действия, выполняемые их пользователями, а также автономные действия, выполняемые устройством, такие как сетевые подключения и передачи данных. Сюда входят автомобили, мобильные телефоны, маршрутизаторы, персональные компьютеры, светофоры и многие другие устройства в частной и общественной сферах.

Цифровые доказательства могут быть использованы в качестве доказательств в расследовании и судебном разбирательстве для:

• Кражи данных и сетевых взломов — цифровая судебная экспертиза используется для понимания того, как произошла утечка и кто были злоумышленниками.
• Онлайн-мошенничества и кражи личных данных — цифровая судебная экспертиза используется для понимания влияния взлома на организации и их клиентов.
• Насильственных преступлений, таких как кража со взломом, нападение и убийство — цифровая криминалистика используется для сбора цифровых улик с мобильных телефонов, автомобилей или других устройств, находящихся в непосредственной близости от места преступления.
• Преступлений белых воротничков — цифровая криминалистика используется для сбора доказательств, которые могут помочь выявлять и преследовать в судебном порядке такие преступления, как корпоративное мошенничество, растрата и вымогательство.

В контексте организации цифровая судебная экспертиза может использоваться для выявления и расследования как инцидентов кибербезопасности, так и инцидентов физической безопасности. Чаще всего цифровые доказательства используются как часть процесса реагирования на инцидент, чтобы обнаружить, что имело место нарушение, определить первопричину и участников угрозы, устранить угрозу и предоставить доказательства юридическим группам и правоохранительным органам.

Чтобы включить цифровую криминалистику, организации должны централизованно управлять журналами регистрации и другими цифровыми доказательствами, обеспечивать их хранение в течение достаточно длительного периода и защищать от подделки, вредоносного доступа или случайной потери.

Откройте для себя услуги цифровой криминалистики BlueVoyant Определение цифровых рисков Поскольку организации используют более сложные, взаимосвязанные цепочки поставок, включающие нескольких клиентов, партнеров и поставщиков программного обеспечения, они подвергают цифровые активы атакам. Организации также используют сложные ИТ-среды, включая локальные и мобильные конечные точки, облачные сервисы и собственные облачные технологии, такие как контейнеры, создавая множество новых возможностей для атак.

Цифровые риски можно разделить на следующие категории:

• Риск кибербезопасности — атака, целью которой является доступ к конфиденциальной информации или системам и их использование в злонамеренных целях, таких как вымогательство или саботаж.
• Комплаенс-риск — риск, который представляет для организации использование технологии в регулируемой среде. Например, технологии могут нарушать требования к конфиденциальности данных или могут не иметь средств контроля безопасности, требуемых стандартом безопасности.
• Риски сторонних производителей — это риски, связанные с передачей услуг сторонним поставщикам. Например, уязвимости, связанные с интеллектуальной собственностью, данными, операционной, финансовой информацией, информацией о клиентах или другой конфиденциальной информацией, передаваемой третьим лицам.
• Риск идентификации — атаки, направленные на кражу учётных данных или захват учётных записей. С этими типами рисков могут столкнуться собственные учётные записи пользователей организации или те, которыми она управляет от имени своих клиентов.

Каковы различные отрасли цифровой криминалистики? Вот краткий обзор основных типов цифровой криминалистики:

• Компьютерная криминалистика исследует компьютеры и цифровые носители информации. Она включает в себя изучение цифровых данных для идентификации, сохранения, восстановления, анализа и представления фактов и мнений относительно проверяемой информации. Эта отрасль компьютерной судебной экспертизы использует принципы и методы, аналогичные восстановлению данных, но включает дополнительные методы и рекомендации, которые создают юридический контрольный журнал с чёткой цепочкой поставок.
• Криминалистика мобильных устройств фокусируется в первую очередь на восстановлении цифровых улик с мобильных устройств. Она включает в себя исследование любого устройства с встроенной памятью и функциями связи, такого как мобильные телефоны, КПК, планшеты и устройства GPS.
• Сетевая криминалистика отслеживает, регистрирует и анализирует сетевые действия. Сетевые данные очень динамичны, даже изменчивы, и после передачи они исчезают. Это означает, что сетевая криминалистика обычно представляет собой процесс упреждающего расследования.
• Судебный анализ данных (FDA) фокусируется на изучении структурированных данных, находящихся в прикладных системах и базах данных, в контексте финансовых преступлений. FDA стремится выявлять и анализировать схемы мошеннической деятельности.
• Криминалистика баз данных включает в себя расследование доступа к базам данных и составление отчётов об изменениях, внесённых в данные. Криминалистику баз данных можно применять для различных целей. Например, криминалистику базы данных можно использовать для выявления транзакций базы данных, указывающих на мошенничество. В качестве альтернативы криминалистический анализ вашей базы данных может быть сосредоточен на временных метках, связанных со временем обновления строки в вашей реляционной базе данных. Это расследование направлено на проверку и тестирование базы данных на предмет достоверности и проверку действий определённого пользователя базы данных.

Процесс цифровой криминалистики Процесс цифровой криминалистики может меняться от одного сценария к другому, но обычно он состоит из четырёх основных этапов — сбора данных, изучения, анализа и составления отчётов.

• Сбор
  Этап сбора включает в себя получение цифровых доказательств, обычно путём изъятия физических активов, таких как компьютеры, жесткие диски или телефоны. Крайне важно убедиться, что данные не будут потеряны или повреждены в процессе сбора. Вы можете предотвратить потерю данных, скопировав носитель информации или создав изображения оригинала.
• Экспертиза
  Этап экспертизы включает идентификацию и извлечение данных. Вы можете разделить этот этап на несколько шагов — подготовить, извлечь и идентифицировать. При подготовке к извлечению данных вы можете решить, работать с действующей или неработающей системой. Например, вы можете включить ноутбук для работы в режиме реального времени или подключить жесткий диск к лабораторному компьютеру. На этапе идентификации вам необходимо определить, какие фрагменты данных имеют отношение к расследованию. Например, ордера могут ограничивать расследование определёнными фрагментами данных.
• Анализ
  Этап анализа включает использование собранных данных для доказательства или опровержения дела, составленного экспертами. Вот ключевые вопросы, на которые эксперты должны ответить по всем соответствующим элементам данных:
  • Кто создал данные?
  • Кто редактировал данные?
  • Как были созданы данные?
  • Когда произошли эти действия?

В дополнение к предоставлению вышеуказанной информации эксперты также определяют, как эта информация относится к делу.

• Отчётность
  Этап отчётности включает в себя создание окончательного отчёта, который документирует процесс и выводы. Этот отчёт должен быть написан таким образом, чтобы его можно было легко передать. В отчёте могут быть указаны методы исследования и данные,