Informatyka śledcza (ang. Computer Forensics) jest gałęzią nauk sądowych, której celem jest dostarczanie cyfrowych środków dowodowych popełnionych przestępstw lub nadużyć. Jej zadaniami są: zbieranie, odzyskiwanie, analiza oraz prezentacja, w formie specjalistycznego raportu, danych cyfrowych znajdujących się na różnego rodzaju nośnikach (dyski twarde komputerów, dyskietki, płyty CD, pamięci przenośne, serwery, telefony komórkowe itp.). Efektem działań specjalistów informatyki śledczej są dane elektroniczne przygotowane w sposób spełniający kryteria dowodowe zgodnie z obowiązującymi w danym kraju regulacjami prawnymi.

Do najczęstszych przypadków zastosowania informatyki śledczej w Polsce należą kradzież danych przez zwalnianych lub nielojalnych pracowników oraz sabotaż (usuwanie lub kradzież danych firm lub instytucji publicznych mające na celu m.in. osłabienie ich pozycji konkurencyjnej lub pozyskanie know-how).
Dowód elektroniczny i przestępstwa komputerowe

Dowód elektroniczny (ang. digital evidence) jest dopuszczalny zarówno w procesie cywilnym jak i karnym. Jest to typ dowodu naukowego, spełniającego bardzo rygorystyczne wymagania amerykańskiego standardu Dauberta, zgodnie z którym metoda lub teoria naukowa, aby stać się dowodem, musi:

Sama w sobie być sprawdzalna i zostać już poddana kontroli;
Być opisana i oceniona w literaturze fachowej;
Mieć znany lub przewidywany poziom błędów uzyskiwanych przy stosowaniu tej metody;
Uzyskać powszechną akceptację („general acceptance”) specjalistów w danej dziedzinie.

Wymóg powszechnej akceptacji jest ważnym czynnikiem decydującym o dopuszczeniu konkretnego dowodu, jednak nie stanowi warunku koniecznego. Polskie prawo również – co do zasady – przyjmuje, że dowody elektroniczne mogą być wykorzystane w postępowaniu przed sądem . Dowód elektroniczny musi być pozyskany, potwierdzony (poddany procesowi uwierzytelniania), zabezpieczony i zanalizowany w sposób, który uniemożliwi obronie podniesienie zarzutu manipulacji dowodem czy fałszerstwa.

Przestępstwa komputerowe definiuje konwencja Rady Europy ETS 185, gdzie wskazuje się następujące ich grupy:

Przestępstwa przeciw poufności (Confidentiality), integralności (Integrity) i dostępności (Availability) danych (tzw. przestępstwa CIA). Obejmują one między innymi: nielegalny dostęp do systemów przez hacking, podsłuch czy oszukiwanie uprawnionych użytkowników (powszechnie znany „phishing”), szpiegostwo komputerowe (włączając trojany i inne techniki), sabotaż i wymuszenia komputerowe (wirusy, ataki DDoS, spam) .
Powiązane z komputerami (sieciami) przestępstwa tradycyjne, zaczynając od oszustw (od klasycznych, czyli manipulacji fakturami czy kontami firmowymi, do manipulacji on-line – oszukańczych aukcji czy nielegalnego używania kart kredytowych), poprzez komputerowe podróbki, aż do ataków na ludzkie życie przez np. manipulowanie systemami szpitalnymi czy systemami kontroli ruchu powietrznego.
Przestępstwa dotyczące zawartości (treści). Ta kategoria obejmuje na przykład dziecięcą pornografię, dostarczanie instrukcji przestępczych, a także samo oferowanie popełniania przestępstw. Ta kategoria obejmuje także molestowanie i mobbing poprzez sieć, rozpowszechnianie fałszywych informacji (np. czarny PR, schematy „pump-and-dump”) oraz internetowy hazard.
Przestępstwa powiązane z naruszeniem prawa autorskiego i praw pokrewnych, takie jak nieautoryzowane kopiowane i rozpowszechnianie programów komputerowych. Do tej kategorii zalicza się także nieautoryzowane użycie baz danych.

Należy podkreślić, że dziedzina dostarczania elektronicznych środków dowodowych wybiega znacznie poza przestępstwa komputerowe i ma zastosowanie przy każdym przestępstwie czy nadużyciu, gdzie urządzenia elektroniczne miały zastosowanie jako nośnik danych. Podsumowanie przestępczości komputerowej w USA zawiera doroczny "Computer Crime Survey" dostępny na www.gocsi.com
Procedura badań kryminalistycznych nośników danych

Utworzenie protokołu dostarczenia nośników danych z dokładnym zbadaniem poprawnego zabezpieczenia materiału dowodowego poprzez ich prawidłowe zaplombowanie (np. obudowy komputera jak i portów) oraz ewentualne potwierdzenie zabezpieczonych dowodów najlepiej sumą kontrolną jak również sprawdzenie zgodności opisu ich marki, numerów seryjnych oraz dostarczonej ilości. W razie nieprzestrzegania procedury przy zabezpieczaniu urządzenia dowód takowy traci na wiarygodności w postępowaniu sądowym.
Podłączenie blokera w celu odczytania danych z zabezpieczonego dysku twardego komputera w sposób bezpieczny bez zmiany jego stanu danych, gwarantujący nienaruszalność nośnika źródłowego. Aby zatrzymany dysk twardy został uznany za dowód nie można dopuścić aby doszło do zapisania na nim jakiejkolwiek informacji po dacie jego zabezpieczenia. Bloker zabezpiecza zarekwirowany dysk przed zapisaniem na nim jakiegokolwiek nośnika danych. Gdyby po dacie zabezpieczenia dysku twardego komputera doszło do zmodyfikowania daty powstania jakiegokolwiek pliku to wartość takiego dowodu jak i jego wiarygodność jest przekreślona. Należy pamiętać, że każde uruchomienie komputera powoduje powstanie śladów, które wskazują na to że doszło do modyfikacji zabezpieczonego dysku twardego komputera wtedy przeprowadzona analiza nie może stanowić pełnoprawnego dowodu w postępowaniu sądowym.
Sklonowanie nośników informacji z dysku twardego komputera metodą programową lub sprzętową. Klonowanie danych metodą programową wymusza stosowanie blokera w celu zabezpieczenia danych które na nich się znajdują. Uruchomienie komputera bez pomocy blokera powoduje naruszenie integralności zabezpieczonego urządzenia i jego zmodyfikowanie. Sprzętowe blokady dysków wymuszają pracę dysku twardego w trybie read only i tym samym uniemożliwiają zapis jakichkolwiek danych na zabezpieczonym do badania dysku twardym.
Przeprowadzenie na klonie danych ich szczegółowej analizy zgodnie z zapytaniem zleceniodawcy stosując w tym celu specjalistyczne urządzenia i programy, które uniemożliwiają modyfikację danych na zabezpieczonym do analizy nośniku danych. Analiza danych musi zostać przeprowadzona z dużą rzetelnością, starannością przy zachowaniu zasad, procedur stosowanych zgodnie z zasadami informatyki śledczej oraz łańcuchem dowodowym, który ma swój początek w momencie zabezpieczania urządzenia, a kończy się w chwili gdy biegły obroni swoją opinię na rozprawie sądowej.
Opisanie z wysoką starannością całej procedury klonowania i pełnej analizy kopii komputerowego, cyfrowego czy elektronicznego nośnika danych uzyskanych z zarekwirowanego urządzenia zawierającego materiał dowodowy oraz umieszczenie pod przedmiotową kartą opisu odpowiednich podpisów i pieczęci- w przypadku braku odpowiedniego, rzetelnego czy pełnego opisu procedury klonowania czy analizy kopia nośnika danych jest bezwartościowa jako dowód.
Sporządzenie z rzetelnej ekspertyzy wraz z pełnym opisem jej przebiegu i wyniku wyeksportowanego do danej postaci pliku oraz z przedstawieniem pełnych raportów analizy nośników danych z naznaczeniem pozycji i ujawnionych informacji z nośnika danych, które stanowią materiał dowodowy do wydania opinii służącej w procesie sądowym przy równoczesnym oznaczeniu dat utworzenia, modyfikacji jak i ostatniego dostępu do danych stanowiących materiał dowodowy. Należy wyszczególnić dane, które zostały odzyskane po skasowaniu czy sformatowaniu dysku twardego komputera.
Wystawienie opinii zgodnej z zapytaniem zlecającego z przytoczeniem metody i sposobu przeprowadzenia analizy kopii komputerowego, cyfrowego czy elektronicznego nośnika danych.

Narzędzia informatyków śledczych

Narzędzia CF obejmują sprzęt komputerowy (np. blokery) i oprogramowanie. Warto jednak dodać, że łatwiej akceptowane w postępowaniach sądowych są rezultaty uzyskane za pomocą standardowych, wielokrotnie sprawdzonych narzędzi służących przeszukiwaniu nośników, odzyskiwaniu danych oraz analizie i raportowaniu. Klasyczne programowe narzędzia informatyki śledczej są przeznaczone do pracy z jednym komputerem – można tu wymienić np. Forensic Toolkit firmy AccessData. Od kilku lat dostępne są także narzędzia służące kontroli i analizie zdarzeń zachodzących w sieci firmowej, takie jak X-Ways Forensic niemieckiej firmy X-Ways powszechnie wykorzystywany na terenie Unii Europejskiej oraz EnCase Enterprise stworzony przez GuidanceSoftware na potrzeby wymiaru sprawiedliwości działającego w oparciu o prawo anglosaskie, z kolei firma Micro Systemation wprowadziła na rynek program .XRY służący do analiz zawartości pamięci telefonów komórkowych. Do analiz obrazów wideo i zdjęć specjaliści informatyki śledczej stosują przeważnie program Amped Five używany szeroko przez europejskie organa ścigania.

Część informatyków śledczych przedkłada narzędzia komercyjne nad otwarte i wolne oprogramowanie. Nie da się zaprzeczyć, że oprogramowanie komercyjne wymaga często dużo mniej wysiłku i zaangażowania niż oprogramowanie niszowe, mimo to zdania dotyczące przewagi jednego nad drugim są podzielone.

Nie jest prawdą, że w przypadku procesu sądowego łatwo jest podważyć prawdziwość dowodu elektronicznego zebranego za pomocą narzędzi otwartych. Sam fakt otwartości kodu daje przewagę użytkownikowi, ponieważ jest w stanie sprawdzić co dokładnie robi jego oprogramowanie i obala mit, że otwarte i wolne oprogramowanie może być postrzegane jako umożliwiające ingerencję w samo narzędzie, a poprzez to również w informacje przedstawiane jako dowód. Uniemożliwienie podważenia swojej opinii zależy wyłącznie od wiedzy i rzetelności biegłego.
Zadania specjalistów informatyki śledczej

ustalanie zakresu analizy dowodów elektronicznych oraz przedmiotu poszukiwania
właściwe zabezpieczenie kopii danych
szczegółowa analiza śladów elektronicznych
sporządzenie raportu dotyczącego analizowanych danych.

Informatycy śledczy wykorzystywani są najczęściej w przypadkach

defraudacji środków finansowych
łamania prawa pracy
kradzieży danych
szpiegostwa przemysłowego
łamania praw autorskich
ujawnienia tajemnicy handlowej
kradzieży i użycia danych osobowych
spraw kryminalnych (handel narkotykami, terroryzm, morderstwa, samobójstwa, przestępczość zorganizowana, pedofilia).

Gdzie specjaliści informatyki śledczej szukają informacji?
Dane zawarte w systemie
Dane ukryte
Otoczenie komputera

poczta elektroniczna
dokumenty elektroniczne
pliki tymczasowe
partycje/pliki wymiany
pliki kopii
logi i rejestry
dane przeglądarki
pliki kolejkowania wydruku
ciasteczka

Metadane
Dane skasowane
Slack space
RAM-slack

Sieci z którymi się łączył
Dane z kopii bezpieczeństwa
Powiązania z innymi nośnikami

Zobacz też

Uwarunkowania prawne dotyczące dowodów w postaci elektronicznej z polskiego prawa

Kodeks pracy: Art.52.§1-3 Art.114 Art.115 Art.116 Art.119 Art.114. Art.122 Art.267.§1-4 Art.268.§1-4 Art.268a.§1-3 Art.287.§1-3
Ustawa o zwalczaniu nieuczciwej konkurencji
Kodeks postępowania cywilnego: Art.227 Art.278 Art.305 Art.227 Art.307.§1-3 Art.308.§1-2 Art.309.

www.wikipedia.pl

Magazyny

Narzedzia HDD