“ najbolji hakeri na svijetu ostaju nepoznati ” - j.B. -

1. “najboljihakerinasvijetuostajunepoznati”- j.B.- Jakša Backović, Ministarstvo unutrašnjih poslova Crne Gore

2. Elektronskidokaziistudijeslučaja Podgorica, 2013.godine

3. Plan • Prvi dio – Što je elektronski dokaz • Definicija • Izvori i vrste elektronskog dokaza • Drugi dio – Postupak i poželjna praksa • Utvrđivanje, uzimanje i rukovanje s elektronskim dokazom • Vrste izuzimanja • Istraživanje i analiza elektronskog dokaza • Prezentacija elektronskog dokaza

4. Prvi dioŠto je elektronski dokaz?

5. Elektronski dokaz Ne postoji međunarodno prihvaćena definicija elektronskog dokaza, Već često korišćena “definicija” elektronskog dokaza je: “Svaka informacija ili podatak koji se nalazi na uređaju ili je prenošen posredstvom elektronskih uređaja”

6. Elektronski dokaz • Borba protiv savremenih oblika kriminala zahtijeva saradnju stručnjaka i posebno edukovanih službenika u dva slučaja i to: • Za analizu dokaza i njegovu ispravnu interpretaciju • Tokom istrage i glavne rasprave

7. Izvori i vrste elektronskog dokaza • Izvori • Svaka elektronska naprava • Vrste • Statični podaci • Dinamički podaci (memorija & serveri) • Podaci na internetu

8. Svojstva elektronskog dokaza • Promjenjivost • Može se lako obrisati, izmijeniti, oštetiti ili manipulisati sa njim • Ne mora biti dostupan duže vrijeme • Priroda • Nevidljiv okom • Teško je potvrditi autentičnost • Može zahtijevati posebne vještine kako bi se pronašao • Može zahtijevati stručnjaka koji bi ga interpretirao • Može zahtijevati sredstva prisile kako bi se prikupio i pristup ili upotreba mu mogu biti ograničeni

9. Svojstva elektronskog dokaza • Lokacija • Može biti nerazdvojivo povezan s materijalom • Može se nalaziti na području druge nadležnosti • Količina • Utvrđivanje dokaznog materijala • Utvrđivanje neupotrebljivog materijala • Problematika • Posredni dokaz • Poslovni podaci • Automatizovani procesi • Pomiješani dokazi • Stručni dokazi

10. Drugi dioPostupak i poželjna praksa

11. Opšta načela Pri rukovanju elektonskim dokazima ključno je sljedeće: • Prisustvo na mjestu izuzimanja dokaza, • Integritet podataka, • Zapisnik, • Pomoć stručnjaka, • Edukacija službenika • Zakonitost i postupanje u skladu s načelima

12. Osnovno načelo 1 – Prisustvo na mjestu uzimanja dokaza Nadležni policijski službenik ne bi trebao biti sam na mjestu događaja. • Najmanje dva policijska službenika trebala bi sprovoditi tu vrstu posla. Time se osigurava samozaštita i uočavanje više detalja na mjestu događaja. Službenici trebaju isplanirati i koordinirati svoju aktivnost.

13. Osnovno načelo 2 – Integritet podataka Niti jedna radnja policijskih službenika ne smije dovesti do promjene elektronskog uređaja ili medija koji bi mogli poslužiti u sudskom postupku. • Kada se rukuje s elektronskim uređajima i podacima, isti se ne smiju mijenjati, bilo da je riječ o hardware-u ili software-u. Nadležni službenik je odgovoran za integritet materijala pronađenog na mjestu događaja i utvrđivanje službenih osoba koje su imale pristup dokazu.

14. Osnovno načelo 3 –Zapisnik Mora se sačiniti zapisnik ili drugo bilježenje svih poduzetih radnji. Treća, nezavisna osoba, mora biti u mogućosti ispitati te radnje i na taj način doći do istog rezultata. • Tačno bilježenje svih radnji nužno je kako bi se mogle rekonstruisati sve radnje službenih osoba na mjestu događaja radi osiguranja dokazne vrijednosti pred sudom. Svi elektronski dokazi moraju biti detaljno dokumentovani, očuvani i spremni za ponovni pregled.

15. Osnovno načelo 4 – Pomoć stručnjaka Ako se može pretpostaviti da će se pronaći elektronski dokaz tokom policijske radnje, nadležni službenik trebao bi na vrijeme obavijestiti stručnjake/ vanjske saradnike. • Za istrage koje uključuju pretragu i oduzimanje elektronskih dokaza može biti nužno konsultovati i vanjske stručnjake. Svi vanjski stručnjaci trebaju biti upoznati s načelima priručnika i ostalim relevantnim dokumentima. Pretpostavlja se da stručnjak posjeduje: • Nužno znanje i iskustvo u području elektronskih dokaza • Nužno znanje o samom postupku i zakonu • Nužno znanje o kontekstu i pravnim implikacijama, te • Primjerene komunikacijske vještine (usmeno i pismeno obrazlaganje)

16. Osnovno načelo 5 – Edukacija službenika Oni koji prvi sprovode radnje moraju biti adekvatno edukovani kako bi mogli pronaći i oduzeti elektronski dokaz ukoliko ne postoje dostupni stručnjaci. • U određenim okolnostima kada je nužno da službenici koji se prvi zateknu na mjestu događaja prikupe elektronski dokaz ili pristupe podacima iz elektronskog uređaja ili nosača memorije, moraju biti edukovani da to ispravno urade i objasne važnost i implikacije svojih postupaka.

17. Osnovno načelo 6 - Zakonitost Službenik i nadležno tijelo koje postupa u slučaju, odgovorni su da se osigura primjena Zakona, opšta forenzička i postupna načela, te naprijed navedena načela. Navedeno se odnosi na posjedovanje i pristup elektronskom dokazu.

18. Vrste uzimanja Postoji nekoliko vrsto uzimanja elektronskih dokaza: • Uzimanje statičnih podataka • Uzimanje pribavljanjem elektronske opreme i medija za smještanje podataka; • Uzimanje kopiranjem cijelog sadržaja memorije • Uzimanje zapljenom medija za back-up • Uzimanje dinamičkih podataka • Uzimanje selektivnim kopiranjem podataka • Uzimanje podataka s interneta

19. Postupak uzimanja Postupak se sastoji od slijedećih faza koje su opisane u slijedećim odjeljcima: • Priprema za oduzimanje; • Osiguranje mjesta događaja; • Dokumentovanje mjesta događaja; • Prikupljanje dokaza; • Pakovanje, transport i spremanje.

20. Priprema za oduzimanje • Vjerovatnoća dostupnosti vrste dokaza s kojima se može susresti • Obavještavanje službenika za obnovu podataka i vanjskih stručnjaka • Utvrđivanje koje će se vrste izuzimanja obaviti • Pribavljanje informacija o računarskom sistemu koji treba zaplijeniti • Hardware, operativni sistem, aplikacije i uređaji za smještanje podataka • Podaci o mreži • Utvrditi osobe odgovorne za infrastrukturu informacionog sistema • Koliko će opreme biti zaplijenjeno • Koliko podataka treba kopirati • Da li je backup dostupan (vanjski ili na mjestu događaja)

21. Priprema za oduzimanje • Nadležne osobe na mjestu događaja? • Izbor prikladnih članova tima • Dodjeljivanje zadatka pojedincima • Brifiranje tima • Osiguranje potrebne opreme

22. Osiguranje mjesta događaja Prva radnja • Osigurati sigurnost svih osoba na mjestu događaja i integritet tradicionalnih i elektronskih dokaza

23. Osiguranje mjesta događaja • Zaštititi nestabilne podatke fizički i elektronski • Utvrditi i dokumentovati elektronske komponente koje neće biti izuzete • Utvrditi telefonske i mrežne ulaze prikopčene u uređaje, dokumentovati ih i označiti • Odlučiti da li će se izuzeti neki drugi dokaz (npr. DNA, otisci prstiju) • Pretražiti mjesto događaja za neelektronskim uređajima , ali povezanim dokazima • Obavljanje preliminarnih razgovora

24. Dokumentovanje mjesta događaja • Dokumentovanje je postupak koji se odrađuje kroz cijeli postupak uzimanja podataka. Ključno je tačno dokumentovati lokaciju i stanje računara, medija za smještanje, drugih elektronskih uređaja i konvencionalnih dokaza.

25. Dokumentovanje mjesta događaja • Prostorije • Računarskih sistemi i elektronske komponente/uređaji/oprema • Detalji o svoj relevantnoj pronađenoj opremi, npr. proizvođač, model, serijski broj • Uslovi i lokacija svakog računarskog sistema koji sadrži e-dokaz, uključujući strujni status računara (upaljeno, ugašeno, u mirovanju) • Označavanje svih ulaza i kablova (uključujući konekcije i periferne jedinice) kako bi se omogućilo kasnije tačno sastavljanje • Označavanje ulaza koji nisu u upotrebi. • Utvrđivanje docking stanica laptopa kako bi se utvrdili drugi nosači podataka

26. Dokumentovanje mjesta događaja • Fotografisanje prednje strane računara, monitora i ostalih komponenti; • Pravljenje bilješki o onom što se pojavljuje na monitoru; • Snimanje ili pravljenje detaljnije dokumentacije o onom što se događa na monitoru; • Obavijesti od osoba pronađenih na mjestu događaja; • Detalji o svim prisutnim osobama pri pretrazi; • Detalji o svim osobama koje upotrijebljavaju računarski sistem/ opremu; • Primjedbe, komentari i informacije koje su pružili računarski korisnici/ vlasnici/ svjedoci. • Radnje preduzete na mjestu događaja

27. Prikupljanje dokaza Računarski sistem i komponente ne treba oduzeti kao dokaz samo zato što se nalazio na mjestu događaja. Takva mjera mora biti opravdana i razmjerna počinjenom kaznenom djelu i onaj ko je naredio pretragu mora biti u mogućnosti donijeti odluku da li će nadležna tijela oduzeti predmet.

28. Prikupljanje dokaza Sa elektronskim dokazom, kao i sa svakim drugim, treba rukovati pažljivo na način da se očuva njegova dokazna vrijednost. Ovo se ne odnosi samo na fizičku postojanost uređaja, već i elektronskih podataka koje sadrži. Određene vrste e-dokaza zahtijevaju posebno prikupljanje, pakovanje i prevoz.

29. Pakovanje, prevoz i skladištenje Računari, povezani uređaji i oprema su lomljivi i osjetljivi na temperaturu, vlažnost, fizičke promjene, statički elektricitet, izvore magnetskog zračenja, kao i na neke radnje (uključivanje/ isključivanje). Stoga se moraju preduzeti posebne mjere opreza kada se pakuju, prevoze i skladište. Kako bi se očuvao redosled dokaza, pakovanje, transport i skladištenje sve treba prikladno bilježiti.

30. Računarska/ digitalna forenzika • Postupak istraživanja i analiziranja elektronskog(digitalnog) dokaza često je povezan s digitalnom forenzikom. U stvari, cijeli postupak od uzimanja do prezentovanja tokom glavne rasprave može se smatrati dijelom takvog postupka. • Ovaj odjeljak odnosi se na postupak nakon što su uređaji i materijali već zaplijenjeni

31. Definicija Računarska forenzika je grana forenzičke nauke koja se odnosi na zakonit dokaz pronađen u računarima i medijima za smještanje podataka. Svrha računarske forenzike je ispitivanje digitalnih medija s ciljem utvrđivanja, očuvanja, obnove, analize i predočavanja činjenica i mišljenja u vezi s tim podacima Izvor: Michael G. Noblett; Mark M. Pollitt, Lawrence A. Presley 2000. "Recovering and examining computer forensic evidence

32. Periodi • Najlakša podjela je na period na mjestu događaja i period u računarsku laboratoriju. • Iako se neke radnje kao forenzika dinamičkih podataka obavljaju na mjestu događaja, većina aktivnosti odnosi se na rad u laboratoriju.

33. Period • Utvrđivanje • Očuvanje • Oduzimanje/ Obnova • Istraga/ Analiza • Izvođenje/ Predstavljanje

34. Istraga/Analiza • Ovo pokriva sve aspekte povezane s analizom digitalnog dokaza kao i oduzimanjem hardware-a. • To je najsloženiji period u cijelom postupku istraživanja. • Velika količina podataka koju treba analizirati već sama za sebe dovodi do velikih izazova istraživačima. • Utvrđivanje relevantnog podatka za istragu i povezivanje tako postaje jedan od osnovnih zadataka stručnjaka za forenziku. • Njihov posao proteže se od traganja za ilegalnim sadržajem u računarskom sistemu do analize log-datoteka. • Nije neophodno da svi postupci koje je preuzeo kriminalac u vršenju krivičnog djela ostavljaju trag. • Analizom svih dostupnih dokaza, forenzički stručnjaci mogu rekonstruisati način na koji je počinjeno krivično djelo.

35. Vrste analize • Analiza sadržaja datoteka • Analiza autora • Analiza integriteta dokaza • Analiza surfovanja na internetu • Analiza finansijskih transakcija • Prikupljanje podataka o saobraćaju u realnom vremenu • Aktivnosti nadziranja • Udaljena forenzika • Analiza hardware-a • Analiza aplikativnog software-a • Analiza instaliranog software-a • Utvrđivanje mjesta relevantnih podataka • Upotreba udaljenog sredstva za smještanje podataka • Skrivene datoteke • Obrisane datoteke • Dekripcija datoteka

36. Metode analize Postoje dva načina na koje se mogu izvesti forenzičke istrage: • Ručne operacije. Uprkos dostupnosti tehnologija za automatsku istragu, računarska forenzika u velikoj mjeri ostaje manualni posao.Posebno u onim istragama koje uključuju veliku količinu podataka, takve ručne operacije mogu biti relevantne kada sredstva za analizu nisu odgovarajuća. • Sredstva analize. Neki procesi – posebno traženje lozinki, rekonstrukcija obrisanih datoteka ili dekripcija – mogu biti automatski primjenom sofisticiranih sredstava za forenzičku analizu. Većina istraga je kombinacija je ručnih operacija uz upotrebu programa za forenzičku analizu koji automatizuju proces

37. Studija slučaja

38. www.mnairlines.com www.vijesti.com • Prijavljen napad na www.mnairlines.com • Obavješten tužilac • Zatražena Naredba za pretres Telekoma CG • IP adresa pripada opsegu ETF-a (nezaštićen Wi-Fi) • Dan posle prijavljen napad www.vijesti.com (ista procedura) • Sa servera ETF-a skinuli smo LOG MAC adrese • Uporedili vrijeme LOG IP adresa i LOG Mac adresa • Sa stručnjacima ETF izradili SKRIPTU • Treći dan od početka istrage, prvi nakon SKRIPTI • ALARM!!! • Oduzimanje Lap topa, pretres, krivična prijava

40. www.mnairlines.com www.vijesti.com • Prijavljen napad na www.mnairlines.com • Obavješten tužilac • Zatražena Naredba za pretres Telekoma CG • IP adresa pripada opsegu ETF-a (nezaštićen Wi-Fi) • Dan posle prijavljen napad www.vijesti.com (ista procedura) • Sa servera ETF-a skinuli smo LOG MAC adrese • Uporedili vrijeme LOG IP adresa i LOG Mac adresa • Sa stručnjacima ETF izradili SKRIPTU • Treći dan od početka istrage, prvi nakon SKRIPTI • ALARM!!! • Oduzimanje Lap topa, pretres, krivična prijava

41. PRIMJER LOG fajlova

42. PRIMJER LOG fajlova

43. www.mnairlines.com www.vijesti.com • Prijavljen napad na www.mnairlines.com • Obavješten tužilac • Zatražena Naredba za pretres Telekoma CG • IP adresa pripada opsegu ETF-a (nezaštićen Wi-Fi) • Dan posle prijavljen napad www.vijesti.com (ista procedura) • Sa servera ETF-a skinuli smo LOG MAC adrese • Uporedili vrijeme LOG IP adresa i LOG Mac adresa • Sa stručnjacima ETF izradili SKRIPTU • Treći dan od početka istrage, prvi nakon SKRIPTI • ALARM!!! • Oduzimanje Lap topa, pretres, krivična prijava

44. PRIMJER LOG fajlova

45. Studija slučaja • Sa naredbom idemo kod ISP, koji nam daje podatke o vlasniku IP adrese u vremenu napada • U periodu prijavljivanja napada na www.vijesti.me , prijavljen je napad na www.mnairlines.me (isti način izvršenja). • IP adresa napada na www.vijesti.me je pripadala opsegu adresa sa ETF-a, dok je IP adresa napada www.mnairlines.me pripadala fizičkom licu. • ETF nije imao video nadzor u svojim hodnicima, stoga smo morali improvizovati

46. Studija slučaja Slučaj: internet piraterija www.zone.cg.yu (2008) E-mail: zone@cg.yu 2007.godine zatvorio CD shop Istražne radnje

47. Studija slučaja

48. Studija slučaja

49. Studija slučaja Slučaj: zloupotreba kartica NLB banka on-line shop Skimovanim brojevima dopunjavali račune Istražne radnje

50. Studija slučaja • Slučaj: Obaranja web servera T-Com-a • Oboreno preko 170 web sajtova • Radilo se o malizioznom programu • Banka slučajno preuzela virus-program • Nije bilo materijalne štete • Preko 70GB LOG fajlova obrađeno