INVESTIGAREA FRAUDELOR INFORMATICE

I N V E S T I G A R E A F R A U D E L O R I N F O R M A T I C E

INVESTIGAREA ON-LINE

In cazul retelelor locale comportamentul utilizatorilor este înregistrat în fisiere-jurnal (log files) si poate fi pastrat [în servere] câteva 626b17g zile

In situatia unor investigari in Internet se procedeaza la:

o       securizarea probei

o       cooperare nationala / internationala cu furnizorii de servicii INTERNET, cu operatorii de telecomunicatii etc.

o       sincronizarea setarilor unui sistem in timpl real.

FIsIERE-JURNAL

a)      Fisiere-jurnal ale serverelor (HOST)

în functie de sistemul de operare (MS Windows / UNIX );

b) fisiere-jurnal ale aplicatiilor client (soft de comunicatie pe INTERNET în vederea realizarii unor servicii)

se genereaza fisiere log specifice;

c) fisiere-jurnal de telecomunicatii (conectare la INTERNET prin retea telefonica);

d) fisiere-jurnal stocate pe servere ISP (Internet Server Provider)

- referiri la momentul accesarii, durata conexiunii, momentul deconectarii;

e) fisiere-jurnal de accesare a Internetului de catre un utilizator apartinând unei retele locale

- fisiere de log de protectie locala.

MIJLOACE DE LOCALIZARE sI IDENTIFICARE A SUBIECTULUI INVESTIGAT

Pentru platforme WINDOWS / UNIX-aplicatii client care comunica cu serverele se pot utiliza urmatoarele produse-program :

TRACEROUTE : stabileste ruta pâna la o anumita adresa, identificând "portile de acces".

HOST : convertirea între adresa de INTERNET si numele serverului gazda.

FINGER : informatii despre un utilizator pe un anumit sistem.

DIG : informatii de pe serverele de domenii (Domain Name Servers).

PING : verifica daca un server poate fi accesat cu solicitari.

WHOIS : informatii detaliate despre orice site Web.

TELNET : conectare ala un anumit port, ca alternativa la FINGER (depind de configurarea calculatorului).

prelevarea si analizarea probelor

VERIFICĂRI / PERCHEZIŢII ÎN MEDIUL INFORMATIC

Solicitarea autorizatiei de perchezitie

locul de analiza a probelor:

laborator specializat

locul faptei

mediile care urmeaza a fi cercetate :

calculatoare (individuale)

retele de calculatoare

medii de stocare portabile

identificarea persoanelor pentru audieri

identificarea a 2 martori (asistenti) neutri).

Referitor la E-MAIL

a)      partea superioara (header)

b)      partea inferioara (body).

HEADER : proprietatile mesajului (header details)

uneori adresa de IP a calculatorului de pe care s-a realizat   conexiunea.

FIsIERE atasate la e-mail (attachement);

ex. fisiere document cu extensie (doc/bmp/jpeg).

AGENDE cu adrese e-mail :

o       la gestionarii de posta electronica.

Cand se folosesc fisiere jurnal :

o       se lucreaza numai cu copii

o       datele stocate si eventual sortate în functie de cerinte

o       regruparea informatiilor în odine cronologica (timeline)

o       corectii.

Pentru analiza probelor se pot folosii si fisiere temporare

Informatii importante, create în sistemele de operare, pentru a creste capacitatea de prelucrare si memorare.

Directoarele : Temporary

Temporary Internet Files (Windows Explorer)

Cache (Netscape Navigator)

Swap file (Windows).

In cazul pagini web investigarea se refera la :

o       observarea directa a site-ului

o       harta site-ului (inclusiv link-uri)

o       locatia fizica a site-ului (server)

o       copierea (download)

o       analiza mediilor de..stocare

o       "profilul" suspectului :

Referit la GRUPURILE DE DISCUŢII (Usenet)

discutii pe subiecte ilegale ( nu în timp real)

servere în alte tari

comercializare de produse rezultate din activitati infractionale

Referitor la H A C K I N G se pot preciza urmatoarele etape :

- cunoasterea codului juridic

- identificarea pagubelor (colaborare cu victima)

- crearea unor copii de siguranta

- colectarea unor informatii legate de sistemul informatic

- colectarea si analiza fisierelor log (jurnal)

- identificarea faptuitorilor

- eventual, solicitarea unor cooperari externe.

Referitor la VIRUsI INFORMATICI se pot preciza urmatoarele actiuni :

modul de realizare a "infectarii"

elementele sistemului informatic afectate

mod de declansare, general

pierderi / distrugeri

mod de detectare

copii, pe alte calculatoare a fisierelor infectate

(inclusiv COM, EXE, COMMAND COM, A TOEXEC BAT, CONFIG SYS)

identificarea surselor infectarii.

Referitor la INVESTIGAREA TRANSFRONTALIERĂ se utilizeaza :

Sistem INTERPOL : The Reference Poits for Computer - related crime NCRP's . Cu ajutorul acestui sistem se stabilesc urmatoarele elemente :

stabilirea jurisdictiei, pe baza legislatiilor nationale, având în vedere criteriile :

● locatia fizica a calculatorului utilizat în savârsirea faptei

● resedinta faptuitorului

● locul de producere a consecintelor activitatii infractionale

respectarea tratatelor internationale (bilaterale).