Informatyka śledcza od kuchni. Znaczenie w sprawach karnych i cywilnych

Naszymi rozmówcami są Michał Tatar (Mobile Forensics Expert, Mediarecovery) oraz Marcin Kulawik (Computer Forensics Expert, Mediarecovery).

Definicja i zastosowanie

Oskar Klimczuk, CyberDefence24: Czym jest informatyka śledcza?

Marcin Kulawik: Informatyka śledcza to obszar informatyki związany z identyfikacją, zabezpieczaniem, analizą i interpretacją materiału dowodowego w postaci cyfrowej. To, jak szczegółowo wyglądają poszczególne działania, uzależnione jest od lokalnie obowiązującego prawa. Ogólnie dowodem elektronicznym można nazwać każdą informację, która ma znaczenie dowodowe.  Ocena tego, co może stanowić materiał dowodowy pozostaje decyzją sądu.

W Polsce nie mamy usankcjonowanego w żaden sposób zabezpieczania, analizy, interpretowania materiału dowodowego w postaci elektronicznej. Można tutaj powiedzieć bardziej o dobrych praktykach i każda z firm funkcjonujących na rynku właściwie może stworzyć swój własny algorytm postępowania. Ocena tego, co może stanowić materiał dowodowy pozostaje decyzją sądu.

W praktyce wygląda to właśnie tak, że sąd w trakcie rozprawy decyduje, czy zebrany materiał dowodowy będzie stanowić dowód w postępowaniu, czy też nie.

Michał Tatar: Dokładnie, natomiast jeszcze tutaj warto powiedzieć o tym, że informatyka śledcza jest bardzo ogólnym pojęciem. Możemy wyróżnić kilka obszarów tej informatyki śledczej, np.: computer forensics, mobile forensics, vehicle forensics czy IoT forensics. Jest kilka takich gałęzi, które składają się na to, czym jest informatyka śledcza.

Gdzie wykorzystuje się informatykę śledczą?

M. K.: Informatykę śledczą możemy wykorzystać oczywiście w prawie karnym. My zajmujemy się umożliwieniem użycia dowodu cyfrowego w postępowaniu. Zabezpieczone dane analizujemy, sprawdzamy, czy coś może wskazywać na incydent lub zdarzenie, które ma znaczenie dowodowe w konkretnym postępowaniu.

M. T.: Na to pytanie można odpowiedzieć krótko: wszędzie tam, gdzie istnieje konieczność analizy dowodów cyfrowych.

M. K.: Sprawa nie musi jednak dotyczyć kryminalistyki czy postępowania sądowego. Mogą to być też dochodzenia wewnętrzne w firmach, które niekoniecznie muszą się zakończyć rozprawą sądową, ale np. karami dyscyplinarnymi dla pracownika, ponieważ naruszył politykę bezpieczeństwa pracodawcy i zostało to wykryte poprzez analizę zgromadzonego wewnątrz organizacji materiału dowodowego. Może to być na przykład podłączenie pendrive’a przez pracownika, skopiowanie danych czy wysłanie ich za pomocą poczty służbowej na zewnętrzny adres prywatny.   

M. T.: Opowiem ciekawą sytuację. Nie mogę opowiedzieć jej ze szczegółami, ale mieliśmy przypadek w dużej korporacji, w której był zakaz fotografowania zakładu pracy dla zwiedzających. Okazało się, że przychodzili tam zwiedzający, którzy wcale zwiedzającymi nie byli, tylko przyszli na tak zwane „przeszpiegi” i wykonywali fotografie urządzeniem mobilnym, co nie powinno mieć miejsca. Przy wyjściu ich telefon – zgodnie z regulaminem wejścia – był analizowany pod kątem tego, czy robili takie zdjęcia. Jest to praktyczne zastosowanie informatyki śledczej do wykrywania naruszeń zasad bezpieczeństwa.

M. K.: Informatykę śledczą stosuje się również w sprawach cywilnych. Agencje detektywistyczne mogą zatrudniać informatyków właśnie w celu przeanalizowania jakiegoś urządzenia czy danych cyfrowych, które mają być materiałami dowodowymi w rozwodach, sprawach spadkowych czy innych tego typu postępowaniach.

M. T.: Również firmy ubezpieczeniowe mogą korzystać z narzędzi informatyki śledczej. W tym obszarze istnieje wspomniane vehicle forensics, w ramach którego można m.in. sprawdzić szczegółowo co działo się z samochodem w momencie wypadku – czy kierujący miał zapięte pasy, czy drzwi były zamknięte… Podsumowując – czy wszystko w momencie zdarzenia działało tak, jak powinno.  

Informatyka śledcza dziś jest właściwie wszędzie. Świat, w którym funkcjonujemy jest cyfrowy, co przekłada się na wszystkie obszary naszego działania.

M. K.: Informatyka śledcza to także odzyskiwanie danych czy przełamywanie zabezpieczeń. Tutaj też możemy mówić o wielu prozaicznych rzeczach, które niby nie są związane bezpośrednio z informatyką śledczą, tylko na przykład z informatyką, ale są elementem całego procesu.

Służby a informatyka śledcza

Jak informatyka śledcza jest wykorzystywana przez służby?

M. T.: Służby mają swoje laboratoria i mają swoich informatyków śledczych. Do nas trafiają jako do prywatnego laboratorium ze sprawami, przy których potrzebują konkretnych ekspertów bądź też natłok ich pracy jest tak duży, że potrzebują zewnętrznego wsparcia. 

Czyli de facto outsourcują te usługi?

M. T.: Dokładnie. Jeśli chodzi o działanie służb w obszarze informatyki śledczej, to trzeba powiedzieć wprost, że mają dużo lepszy dostęp do narzędzi informatyki śledczej, na przykład mobile forensics. Dzieje się tak ze względu na to, że producenci pewnego typu rozwiązań typu premium oferują swoje rozwiązanie tylko i wyłącznie służbom typu GOV -  w szczególności wojsku. 

M. K.: Do czego informatykę śledczą wykorzystują służby? To cały proces, począwszy od zabezpieczenia danych cyfrowych i urządzeń, które mogą przechowywać informacje, dotyczące jakiegoś śledztwa związanego z cyberprzestępczością czy przestępczością zorganizowaną. Wtedy informatyka śledcza ma za zadanie wyodrębnić te informacje, przeanalizować je i zdecydować, czy faktycznie są one istotne w tej danej sprawie. Informatykę śledczą stosuje się również w walce z terroryzmem czy do sprawdzania migrantów w ramach OSINT-u. W praktyce jest to prześwietlanie konkretnej osoby na podstawie ogólnodostępnych informacji z cyberprzestrzeni.

Informatyka śledcza a OSINT

Czym różni się informatyka śledcza od OSINT-u?

M. T.: Są to odrębne środowiska, natomiast niezwykle ze sobą połączone. Podam przykład: pobieramy z urządzeń mobilnych identyfikatory, które później w narzędziach OSINT-owych są analizowane i wyszukiwane w cyberprzestrzeni.

Bywa, że w samej cyberprzestrzeni OSINT-owiec nie jest w stanie wyciągnąć informacji bez pewnego zestawu danych. Taki zbiór danych, dostarczony dzięki narzędziom informatyki śledczej, może umożliwić dalszą analizę i pozyskiwanie informacji o konkretnym użytkowniku z ogólnodostępnych źródeł. Są to zatem osobne działki, ale połączone ze sobą, chociażby pod względem pozyskiwania tych zbiorów danych.

M. K.: Dane uzyskane w ramach OSINT-u można postrzegać jako dodatkowy kafelek w tym algorytmie. Mogą dostarczać nam informacji, które później będzie można użyć do działań związanych z informatyką śledczą: do badania komputerów, urządzeń mobilnych etc. To może być nasze źródło informacji, które potem będziemy wykorzystywali w trakcie analiz.  

Tak samo działają służby – łączą analizę w ramach informatyki śledczej i OSINT, m.in. w działaniach dotyczących przestępczości zorganizowanej. Dzieje się tak także we współpracy międzynarodowej służb. Wymieniane są pewne informacje, zdobyte dzięki wcześniejszej analizie. Chodzi np. o połączenia z jakimś serwerem z Polski w przypadku siatek przestępców wymieniających się nielegalnymi treściami. W Polsce następuje zabezpieczenie danych, informacje te trafiają do służb w innych krajach, które następnie przeprowadzają własne analizy, poszukując dalszych powiązań.

Druga część wywiadu ukaże się w najbliższą sobotę na łamach naszego #CyberMagazynu.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].