שרשרת משמורת דיגיטלית
שרשרת המשמורת היא התהליך המתועד המתעד את רצף השליטה, ההעברה, הניתוח והטיפול בראיות דיגיטליות. היא חיונית להבטחת קבילות משפטית ושלמות הראיות בחקירות ובהליכים משפטיים.
החשיבות המשפטית של שרשרת המשמורת
כדי שראיות דיגיטליות יהיו קבילות בהליכים משפטיים, יש צורך להוכיח שהן נאספו, נשמרו ונותחו בשלמות, ללא שיבוש או זיהום.
שבירה בשרשרת המשמורת עלולה להוביל לפסילת ראיות, ולפגוע בחקירות פליליות או בתביעות אזרחיות. בהקשר תאגידי, ראיות שנשמרו בצורה לקויה עלולות לסכל פעולות נגד עובדים זדוניים או להגביל את שחזור הנזקים.
עקרונות יסוד
סדר התנודתיות: לאסוף ראיות בסדר יורד של תנודתיות - רשומות זיכרון תחילה, לאחר מכן לוגים, דיסקים, גיבויים, תיעוד פיזי.
אי-שינוי: אין לשנות ראיות מקוריות. יש לעבוד תמיד על עותקים פורנזיים ביט-אחר-ביט המאומתים באמצעות hash.
תיעוד מלא: יש לתעד כל פעולה: מי אסף, מתי, היכן, כיצד, אילו כלים שימשו, אילו hashes חושבו.
עקיבות: לשמור רישום של כל אדם שהייתה לו גישה לראיה, כולל משמורת, ניתוח והעברות.
שלבי שרשרת המשמורת
1. זיהוי: לאתר ולתעד מקורות פוטנציאליים של ראיות. לצלם ולתעד את המצב ההתחלתי לפני כל טיפול.
2. איסוף: לרכוש ראיות באמצעות שיטות פורנזיות מתאימות. עבור דיסקים, ליצור תמונות ביט-אחר-ביט באמצעות write blockers. עבור זיכרון, ללכוד dump מלא.
Hash/שלמות: לחשב hashes קריפטוגרפיים (MD5, SHA-256) של הראיות המקוריות והעותקים לאימות שלמות.
4. שימור: לאחסן ראיות מקוריות במקום מאובטח, חתום, עם בקרת גישה פיזית וסביבתית (טמפרטורה, לחות).
5. ניתוח: לעבוד אך ורק על עותקים מאומתים, לעולם לא על מקורות. לתעד את כל הניתוחים שבוצעו.
6. הצגה: להכין דוח מומחה המפרט את המתודולוגיה, הממצאים והמסקנות, עם שרשרת משמורת מצורפת.
7. החזרה/השמדה: לאחר סיום התיק, להחזיר ראיות לבעלים או להשמיד אותן בצורה מאובטחת בהתאם למדיניות השמירה.
טופס שרשרת משמורת
לכל ראיה חייב להיות טופס משלה הכולל:
זיהוי הראיה: מספר בקרה ייחודי, תיאור מפורט (מותג, דגם, מספר סידורי), מקום האיסוף.
איסוף ראשוני: שם האוסף, תאריך/שעה, עדים נוכחים, מצב הראיה, הכלים שבהם נעשה שימוש.
Hashes: MD5, SHA-256 של הראיה המקורית ושל כל עותק שנוצר.
רישום העברות: טבלה עם כל העברה הכוללת: שם המוסר, שם המקבל, תאריך/שעה, מטרה, חתימות.
מיקום אחסון: היכן הראיה נשמרת פיזית, מספר חותם/חותמת.
ניתוחים שבוצעו: לוג של כל ניתוח: אנליסט, תאריך, כלים, ממצאים מסוכמים.
איסוף ראיות דיגיטליות
דיסקים ומדיית אחסון: להשתמש ב-write blockers כדי למנוע כתיבה בשוגג. ליצור תמונות פורנזיות עם כלים כמו dd, FTK Imager, EnCase. לחשב ולתעד hashes.
זיכרון RAM: ללכוד לפני כיבוי המערכת, מכיוון שהוא נדיף. כלים: LiME, DumpIt, FTK Imager (memory dump).
לוגים של מערכות: לאסוף לוגים מרוכזים (SIEM) ומקומיים. לייצא בפורמט מקורי וגם בטקסט פשוט לצורך ניתוח.
ראיות רשת: לכידות מנות (PCAPs), לוגים של firewall/proxy, dumps של חיבורים פעילים.
Cloud ו-SaaS: להשתמש ב-APIs ובכלים של הספק לייצוא נתונים, תוך כיבוד chain of custody. לתעד את מגבלות האיסוף.
מכשירים ניידים: כלים ייעודיים כמו Cellebrite, Oxygen Forensics. מצב טיסה למניעת שינויים מרחוק.
כלים פורנזיים
רכישה: FTK Imager, dd/dcfldd, Guymager, Magnet ACQUIRE.
ניתוח: Autopsy, Sleuth Kit, EnCase, X-Ways Forensics, Volatility (זיכרון).
Hash/אימות: md5sum, sha256sum, HashMyFiles, אימות מובנה בכלים פורנזיים.
Timeline: log2timeline/Plaso ליצירת timelines פורנזיים מפורטים.
Mobile: Cellebrite UFED, Oxygen Forensics, XRY, Andriller.
אימות שלמות
hashes קריפטוגרפיים חיוניים כדי להוכיח שהראיה לא שונתה:
MD5: אלגוריתם מיושן, עדיין בשימוש אך כבר אינו מומלץ כ-hash יחיד בשל התנגשויות תיאורטיות.
SHA-256/SHA-512: מומלצים למקרים חדשים, עמידים בפני התנגשויות.
Re-hashing: לחשב מחדש מעת לעת את ה-hashes של ראיות שנשמרו כדי לזהות התדרדרות מדיה או שחיתות.
Write Once Media: לשימור ארוך טווח, לשקול מדיית WORM (Write Once Read Many).
שימור פיזי
אריזה: לחתום ראיות בשקיות אנטי-סטטיות עם תוויות זיהוי. לצלם לפני ואחרי החתימה.
סביבה מבוקרת: לאחסן בחדר עם בקרת טמפרטורה, לחות וגישה מוגבלת. רצוי כספת או חדר-כספת.
גישה מתועדת: מערכת בקרת גישה פיזית המתעדת מי ניגש לאזור אחסון הראיות ומתי.
גיבוי ראיות: ליצור מספר עותקים מאומתים ולאחסן אותם במקומות נפרדים ליתירות.
תיעוד ניתוח
יש לתעד כל שלב בניתוח הפורנזי:
מתודולוגיה: לתאר את הגישה והטכניקות שבהן נעשה שימוש, תוך הפניה ל-frameworks מוכרים (NIST, ISO 27037).
כלים וגרסאות: לרשום את כל הכלים עם הגרסאות המדויקות שבהן נעשה שימוש בניתוח.
פקודות שהורצו: עבור ניתוחים דרך CLI, לתעד את הפקודות המדויקות ואת ה-outputs הרלוונטיים.
ממצאים: לתעד ראיות שנמצאו עם screenshots, קטעי לוגים, הפניות לקבצים ספציפיים.
Timeline: לשחזר את כרונולוגיית האירועים בהתבסס על ארטיפקטים דיגיטליים (timestamps של קבצים, לוגים וכו').
דוח מומחה
הדוח הסופי חייב להיות מלא ומובן להדיוטות:
Executive Summary: תקציר מנהלים עם הממצאים העיקריים עבור לא-טכניים.
שרשרת משמורת: לצרף טפסים מלאים של chain of custody.
מתודולוגיה מפורטת: חלק טכני המסביר כיצד הניתוח בוצע.
ראיות וממצאים: הצגה מפורטת של כל ראיה עם ניתוח ופרשנות.
מסקנות: מסקנות טכניות בהתבסס על הראיות, תוך הימנעות מספקולציה מעבר למה שהנתונים תומכים בו.
נספחים: לוגים מלאים, screenshots, hashes, טבלאות של קבצים שנותחו.
אתגרים ספציפיים
הצפנה: ראיות מוצפנות דורשות השגת מפתחות או סיסמאות. לתעד ניסיונות פענוח ומגבלות.
אנטי-פורנזיקה: יריבים עשויים להשתמש בטכניקות אנטי-פורנזיות (wiping, timestomp, סטגנוגרפיה). לתעד סימנים של אנטי-פורנזיקה.
Cloud: שיפוט, תלות בספק, נתונים במספר אזורים. לתעד את מגבלות האיסוף.
IoT: מכשירי IoT עם אחסון מוגבל ופרוטוקולים קנייניים מציבים אתגרי רכישה ייחודיים.
היבטים משפטיים בברזיל
חוק סדר הדין הפלילי: סעיפים 158-184 עוסקים בחוות דעת מומחה. סעיף 159 קובע שבדיקת גוף העבירה תבוצע על ידי מומחים רשמיים.
המסגרת האזרחית לאינטרנט: חוק 12.965/2014, סעיפים 10-11 עוסקים בשמירת לוגים ובדרישות להסרת חיסיון.
LGPD: חוק 13.709/2018 משפיע על איסוף ועיבוד נתונים אישיים במהלך חקירות. אינטרס לגיטימי ועמידה בחובה משפטית הם בסיסים ישימים.
חוק קרולינה דיקמן: חוק 12.737/2012 מגדיר חדירות למכשירים כעבירה ולעיתים קרובות מהווה בסיס לחקירות פורנזיות.
הסמכות והכשרה
אנשי מקצוע המטפלים בראיות דיגיטליות צריכים לשאוף להסמכה מוכרת:
בינלאומיות: GCFE (GIAC Certified Forensic Examiner), EnCE (EnCase Certified Examiner), CHFI (Computer Hacking Forensic Investigator), CCFP (Certified Cyber Forensics Professional).
מקומיות: הסמכות המוצעות על ידי מומחים רשמיים ומוסדות ברזילאיים של חוות דעת פלילית.
להישאר מעודכן בהתפתחות הטכנולוגיות, טכניקות אנטי-פורנזיות ושינויים משפטיים הוא חיוני.
אוטומציה וניהול
LIMS (Laboratory Information Management Systems): תוכנה לניהול ראיות, תיקים ושרשרת משמורת בארגונים בעלי נפח משמעותי.
RFID/Barcodes: תגים למעקב אוטומטי אחר תנועת ראיות.
Digital Signatures: חתימה דיגיטלית על מסמכי chain of custody לצורך אי-התכחשות.
המלצות סופיות
שרשרת משמורת נאותה היא ההבדל בין ראיות קבילות לבין חקירות שנפגעו. ארגונים צריכים לקבוע נהלים ברורים, להכשיר צוותים אחראים ולהשקיע בכלים מתאימים. במקרים של התדיינות פוטנציאלית או פשע, מעורבות של מומחים מוסמכים מההתחלה מבטיחה שראיות דיגיטליות נשמרות כראוי וניתן להשתמש בהן ביעילות בהליכים משפטיים או בחקירות פנימיות.