Sécurité + certification: informatique légale et réponse aux incidents - les nuls

La criminalistique informatique consiste à mener une enquête pour déterminer ce qui s'est passé, savoir qui est responsable et collecter légalement preuve recevable à utiliser dans une affaire de criminalité informatique.

La réponse aux incidents est étroitement liée à, mais nettement différente des enquêtes. Le but d'une enquête est de déterminer ce qui s'est passé, de déterminer qui est responsable et de recueillir des preuves. La réponse à l'incident détermine ce qui s'est passé, contient et évalue les dégâts et rétablit les opérations normales.

Les enquêtes et la réponse aux incidents doivent souvent être menées simultanément de manière coordonnée et contrôlée pour s'assurer que les actions initiales de l'une ou l'autre activité ne détruisent pas les preuves ou ne causent pas de dommages supplémentaires aux actifs de l'organisation. Pour cette raison, les équipes d'intervention en cas d'incident informatique (CIRT ou CERT, respectivement) doivent être correctement formées et qualifiées pour sécuriser une scène de crime ou un incident tout en préservant les preuves. Idéalement, le CIRT comprend les personnes qui mènent l'enquête.

Conduite des enquêtes

Une enquête sur un crime informatique devrait débuter dès la déclaration d'un crime ou d'un incident informatique présumé. Initialement, tout incident devrait être traité comme une enquête criminelle sur ordinateur jusqu'à ce qu'une enquête préliminaire en décide autrement. Les étapes générales à suivre dans le processus d'enquête sont les suivantes:

• Détecter et contenir: La détection précoce est essentielle à une enquête réussie. Malheureusement, les techniques de détection passive ou réactive (telles que l'examen des pistes d'audit et la découverte accidentelle) sont généralement la norme dans les crimes informatiques et laissent souvent une trace des preuves du froid. Le confinement est essentiel pour minimiser les pertes ou dommages supplémentaires.

• Notifier la gestion: La direction doit être informée de toute enquête dans les plus brefs délais. La connaissance de l'enquête devrait être limitée à un nombre de personnes aussi restreint que possible et devrait être fondée sur le besoin de savoir. Les méthodes de communication hors bande (communication en personne) devraient être utilisées pour s'assurer que les communications sensibles au sujet de l'enquête ne sont pas interceptées.
• Commencer l'enquête préliminaire: Ceci est nécessaire pour déterminer si un crime s'est effectivement produit. La plupart des incidents sont des erreurs honnêtes, pas une conduite criminelle. Cette étape comprend

• Révision de la plainte ou rapport

• Inspection des dommages

• Interview des témoins

• Examen des journaux

• Identification des exigences d'enquête supplémentaires

• Détermination de la divulgation: et la chose la plus importante à déterminer est de savoir si la divulgation du crime ou de l'incident est exigée par la loi.Ensuite, déterminez si la divulgation est souhaitée. Cela devrait être coordonné avec un responsable des relations publiques ou des affaires publiques de l'organisation.
• Mener l'enquête:

• Identifier les suspects potentiels. Cela inclut les initiés et les étrangers à l'organisation. Le discriminateur standard pour aider à déterminer ou éliminer les suspects potentiels est le test MOM: Le suspect avait-il le motif, l'opportunité et les moyens de commettre le crime?

• Identifiez les témoins potentiels. Déterminez qui doit être interrogé et qui mènera les entretiens. Veillez à ne pas alerter les suspects potentiels à l'enquête; se concentrer sur l'obtention de faits, pas d'opinions, dans les déclarations des témoins.

• Préparez la recherche et la saisie. Cela comprend l'identification des types de systèmes et de preuves à rechercher ou à saisir, la désignation et la formation des membres de l'équipe de recherche et de saisie (CIRT), l'obtention et le traitement des mandats de recherche (si nécessaire) et la détermination des risques potentiels pour le système lors d'un effort de recherche et de saisie.

• Conclusions du rapport: Les résultats de l'enquête, y compris les éléments de preuve, doivent être communiqués à la direction et transmis aux responsables de l'application des lois ou aux procureurs compétents.

La preuve

La preuve est une information présentée devant un tribunal pour confirmer ou réfuter un fait en litige. Une affaire ne peut pas être jugée sans preuves suffisantes à l'appui de l'affaire. Ainsi, rassembler correctement des preuves est l'une des tâches les plus importantes et les plus difficiles de l'enquêteur.

Types de preuves

Les sources de preuves juridiques qui peuvent être présentées devant un tribunal appartiennent généralement à l'une des quatre grandes catégories suivantes:

• Preuve directe: Il s'agit d'un témoignage oral ou d'une déclaration écrite l'information recueillie à travers les cinq sens du témoin (un témoin oculaire) qui prouve ou réfute un fait ou une question spécifique.
• Preuve réelle (ou physique): Ce sont des objets tangibles du crime réel, tels que ceux-ci:

• Outils et armes

• Propriété volée ou endommagée

• Bandes de surveillance visuelle ou audio

Les preuves physiques d'un crime informatique sont rarement disponibles.
• Preuve documentaire: La plupart des preuves présentées dans une affaire de criminalité informatique sont des preuves documentaires, telles que les suivantes;

• Originaux et copies d'enregistrements commerciaux

• Enregistrements informatiques et stockés par ordinateur

• Manuels

• Règles

• Normes

• Procédures

• Fichiers journaux > Les dossiers commerciaux, y compris les dossiers informatiques, sont traditionnellement considérés comme des preuves par ouï-dire par la plupart des tribunaux parce que ces documents ne peuvent être prouvés précis et fiables. L'un des obstacles les plus importants pour un procureur à surmonter dans une affaire de criminalité informatique est la recherche de l'admission de dossiers informatiques comme preuve.

Preuve démonstrative.
• Utilisé pour aider le tribunal à comprendre une affaire. Les opinions sont considérées comme des preuves démonstratives et peuvent être soit •

Expert: Basé sur l'expertise personnelle et les faits •

Nonexpert: Basé sur des faits seulement Autres exemples les preuves comprennent des modèles, des simulations, des graphiques et des illustrations.

Parmi les autres types de preuves qui peuvent appartenir à au moins l'une des grandes catégories précédentes, mentionnons

Meilleure preuve:

• Preuve originale, non modifiée. En cour, ceci est préféré à la preuve secondaire. Les données extraites d'un ordinateur satisfont à la règle de la meilleure preuve et peuvent normalement être introduites dans les procédures judiciaires en tant que telles.
Preuve secondaire:
• Un duplicata ou une copie de la preuve, tel que • Sauvegarde sur bande

• Capture d'écran

• Photographie

Preuve corroborative:

• Soutient ou justifie d'autres preuves présentées dans un cas. Preuves concluantes:
• Incontestable et irréfutable: le pistolet fumant. Preuve circonstancielle:
• Faits pertinents qui ne peuvent pas être directement ou définitivement liés à d'autres événements mais sur lesquels une déduction raisonnable peut être faite. Admissibilité de la preuve

Comme les preuves générées par ordinateur peuvent souvent être facilement manipulées, altérées ou altérées, et parce qu'elles ne sont pas faciles à comprendre, ce type de preuve est généralement considéré comme suspect devant un tribunal.

Pour être recevable, la preuve doit être:

Pertinente:

• Elle doit avoir tendance à prouver ou à infirmer des faits pertinents et importants pour l'affaire. Fiable:
• Il doit être raisonnablement prouvé que ce qui est présenté comme preuve est ce qui a été recueilli à l'origine et que la preuve elle-même est fiable. Ceci est accompli, en partie, par le traitement approprié des preuves et la chaîne de possession. Légalement admissible:
• Elle doit être obtenue par des moyens légaux. Les éléments de preuve qui ne sont pas légalement admissibles peuvent inclure des éléments de preuve obtenus par ces moyens: •

Perquisition et perquisition illégale: Le personnel chargé de l'application des lois doit obtenir une ordonnance judiciaire préalable; cependant, le personnel non responsable de l'application de la loi, tel qu'un superviseur ou un administrateur de système, peut effectuer une recherche autorisée dans certaines circonstances. •

Écoutes téléphoniques ou appels téléphoniques illégaux: Toute personne effectuant des écoutes téléphoniques ou des écoutes téléphoniques doit obtenir une ordonnance judiciaire préalable. •

Piégeage ou incitation: Piégeage encourage quelqu'un à commettre un crime que la personne n'a peut-être pas eu l'intention de commettre. Inversement, incitation attire quelqu'un vers une preuve (un pot de miel, si vous voulez) après que cette personne a déjà commis un crime. L'incitation n'est pas nécessairement illégale mais soulève des arguments éthiques et peut ne pas être admissible devant un tribunal. •

Coercition: Les témoignages forcés ou les aveux ne sont pas légalement autorisés. •

Surveillance non autorisée ou inappropriée: La surveillance active doit être correctement autorisée et effectuée de manière standard; les utilisateurs doivent être informés qu'ils peuvent faire l'objet d'une surveillance.