мини|десно|Дигитални докази

Спасавање дигиталних доказа је процес проналажења и прикупљања података односно доказа, који се користи у дигиталној форензици ().

Дигитални доказ је информација која има доказујућу вредност, а која може бити складиштена или пренесена у дигиталном облику. Дигитални докази могу бити складиштени на тврдом диску (), компакт-диску (), или неком другом уређају секундарне меморије. У току судског процеса или криминалне истраге, дешава се да дигитални докази буду обрисани од стране сајбер криминалаца, кракера или неких других особа, док је посао сајбер форензичара да те дигиталне доказе спасу односно да их учине доступним и релевантним. Често се дешава да подаци приликом коришћења и обраде остају у фрагментима меморије независно од знања корисника.

Прикупљање обрисаних података

мини|десно|200px|Унутрашњост (глава) тврдог диска

Брисање датотека је начин уклањања датотека из система датотека рачунара. Разлози за брисање датотеке су: Ослобађање простора на диску Уклањање дуплираних и непотребних података како би се избегле забуне Израда осетљивих информација недоступних другима

Сви оперативни системи садрже команде за брисање фајлова (-{rm}- на Униксу, -{delete/del}- у МС-ДОСу, Windows-у и сл.). Међутим, приликом брисања датотеке уз помоћ алата оперативног система, датотека не нестаје са тврог диска већ се уклања показивач на ту датотеку из табеле садржаја диска"Факултет Организационих Наука Београд, предмет Правне основе информационих система, Дракулић Мирјана, Дракулић Ратимир, Јовановић Светлана, Кривокапић Ђорђе"http://myelab.net/moodle/mod/resource/view.php?id=9927 (). Линукс фајл системи користе друге методе алокације и записивања фајлова, познате као INOD-e.

Када се датотека уклони из оперативног система, простор који је заузимала означава се као неалоциран, односно простор у који систем може сместити нове податке. Услед све бржег развоја технологије и повећања капацитета дискова дешава се да фрагменти датотеке често остају у меморији, а главни разлог томе је управо велики капацитет дискова. На тај начин сајбер форензичари успевају да прикупе податке за које се мислило да су претходно обрисани.

Проналажење скривених података мини|Структура диска:(A) Трака(B) Геометрични сектор(C) Сектор траке(D) Кластер

Проналажење скривених података представља најважнији део спасавања дигиталних доказа. Скривени подаци су подаци који су замаскирани односно сакривени на некој од зона диска. Обзиром да скривени подаци остају присутни и након репартиционирања диска, ова фаза може довести до доказа помоћу којих би се решио случај.

Начини на који сајбер криминалаци и кракери сакривају податке углавом су: Диск-едитор () Стеганографија Енкрипција ()

Сектор диска представља минималну адресабилну јединицу за складиштење података на Диску и то је јединица која има фиксну величину (512 бајтова за магнетне дискове и 2048 бајтова за оптичке дискове. У простору између сектора на већим тракама односно стазама диска () је могуће да се сакрије велика количина података. Ова особина је изузетно важна за случајеве дигиталне форензике и омогућава сајбер форензичарима да пронађу скривене податке.

Слек простор

У рачунарској форензици Слек () се односи на бајтове после логичног краја датотеке и краја кластера у којима се коначни бајт важећег фајла налази. Слек простор настаје као последица величине датотека, која не одговара величини кластера у који је та датотека уписана.

Фајл слек типови: RAM слек: простор складиштења података, који постоји од краја датотеке до краја последњег сектора додељеног тој датотеци. Драјв() Слек: простор складиштења података, који постоји од краја последњег сектора додељеног датотеци, до краја поседњег кластера додељеног датотеци.

Битна ствар код слек простора јесте да се он не може искористити намерно. Обзиром да оперативни системи МС-ДОС и Windows користе слек да попуне системску RAM меморију, у овом простору се могу наћи разне врсте података који ће користити приликом форензичке истраге.

Стеганографија

оквир|Слика дрвета. Уклањање свих осим два најмање значајна бита за сваку компоненту боје даје скоро потпуно црну слику. Ако би се та слика направила светлијом 85. пута, добила би се слика испод. оквир|Слика мачке добијена из слике изнад.

Стеганографија је једна од дисциплина дигиталне форензике, која на веродостојан начин може доказати да је један рачунар коришћен у сврхе компјутерског криминала. У истражном поступку, детекција постојања стеганографије представља најтежи део, нарочито ако се узму у обзир велике мреже, попут интернета, где постоји велики проток информација.

Стеганографија представља сакривање података унутар података."Факултет Организационих Наука Београд, предмет Правне основе информационих система, Дракулић Мирјана, Дракулић Ратимир, Јовановић Светлана, Кривокапић Ђорђе"http://myelab.net/moodle/mod/resource/view.php?id=9927 To је врста енкрипције, која се обавља помоћу слободног простора или променом вредности бита који је најмање значајан.

Технике дигиталне стеганографије укључују"Steganographic techniques"http://cs.wellesley.edu/~crypto/lectures/tr10.pdf : Сакривање порука у најниже битове слика са шумом или у аудио датотеке. Сакривање података у шифроване податакe или у случајне податакe. Чафинг и издвајање(). Функције мимике конвертују један фајл како би имали статички профил другог. Скривене поруке у неовлашћено извршне датотеке, користећи вишак у циљани скуп инструкција. Слике уграђене у видео материјал . Неприметног кашњења пакета који се шаљу преко мреже са тастатуре. Кашњења у притискању тастера у неким апликацијама (Телнет или Ремоте Десктоп софтвер) може да значи одлагање слања пакетима, а кашњења у слању пакета могу да се користе за кодирање података. Промена редоследа елемената у сету. Блог-Стеганографија. Поруке су подељене у делове и (шифровани) делови се додају као коментари на веб-логове. У овом случају је избор блогова симетрични кључ који пошиљалац и прималац користе, носилац скривене поруке је цела блогосфера. Модификовање ЕХО звучне датотеке (ЕХО Стеганографија). Сигурна Стеганографија за аудио сигнале.

Да би се утврдило постојање скривених битова и сам редослед њиховог распореда потребно је познавати кључ по којем су они размештени, тако да само онај ко има шифру може успешно реконструисати датотеку. Наравно као и за сваку другу шифру и за ово постоји решење, постоји неколико антистеганографских програма који могу уочити постојање скривених датотека.

Алтернативни токови података

Алтернативни токови података представљају још један од могућих извора информација у оквиру компјутерске форензике. Овај појам се односи на НТФС фајл систем који подржава ову могућност. Ток било које величине може се креирати и повезати са нормално видљивом датотеком (родитељ), али овај ток остаје скривен и могуће га је детектовати једино специјалним програмом. Ови токови података имају потпуно легитимну намену. Наиме, помоћу токова могуће је користити Мекинтош/Епл датотеке. Свака Мекинтош датотека поседује два дела: ресурc део и дата део. Први део се крије у алтернативном току. Постоји још једна функција коју токови обављају а то је складиштење контролних сума за антивирусне програме. Ови токови се могу повезати и са датотекама и директоријумима.

Ток се не може директно обрисати без брисања датотеке родитеља. Многи програми који уништавају податке бришу једино родитеље док остављају токове. Такође вируси и тројанци користе токове за сакривање. Криминалци их могу користити за сакривање инкриминишућих података.

Shadow подаци

-{Shadow}- системи ( сенка података, системи за сенке података, сенке информационе технологије, сенке рачуноводствених система или краће: shadow IT) се састоје од малих база података и / или табела развијених за коришћење од стране крајњих корисника, изван директне контроле ИТ одељења организације.

Један од начина за спасавање и прикупљање дигиталних доказа јесте преко shadow податакаPortal za elektronsko učenje Laboratorije za elektronsko poslovanje: Pristup sistemu, Приступљено 25. 4. 2013.Spasavanje Digitalnih Dokaza | Data Solutions , Приступљено 25. 4. 2013..Shadow подаци настају као диспропорција односно разлика у вертикалном и хоризонталном позиционирању магнетних глава. Када се приступа одређеном сектору диска, позиције глава које приступају нису идентичне. Разлика у овим позицијама омогућава подацима да и после преписивања остану присутни.

Референце

Литература

Dr Mirjana Drakulic, mr Ratimir Drakulic "Izazovi Cyber prostora - Cyber forenzika", Casopis Internet ogledalo br.56

Спољашње везе Дигитална форензика: вести, информације и ресурси Компјутерска форензика, спасавање дигиталних доказа Дигитални докази Фирма “Data Solutions” Дигитални доказ и компјутерска форензика Дигитални докази и место злочина Дигитална ителигенција, тренинг и информације о дигиталној форензици Вики форензика Конференција о напретку дигиталне форензике Светски форум дигиталне форензике Министарство правде Републике Србије Републички завод за информатику и Интернет Републичка агенција за телекомуникације Република Србија, одељење за борбу против високотехнолошког криминала Магазин дигиталне форензике Digital Forensics Association International jurnal of digital evidence Steganography Analysis and Research Center Удружење судских вештака за информационе технологије Удружење дигитална форензика на Фејсбуку

Категорија:Рачунарство Категорија:Форензика