معرفی 3 مرحله و 7 فاکتور در متدولوژی کشف جرائم رایانه ای

کشف جرائم رایانه ای یک متدولوژی کاملا تعریف شده و واضح برای حفظ و نگهداری ، شناسایی ، بازگردانی و مستند سازی داده های الکترونیکی و کامپیوتری است . کشف جرائم رایانه ای به تازگی بصورت حقوقی در مجامع قانونی مطرح شده است و اولین باری که علم اینگونه کشف جرم مطرح شده و بکارگیری شد در دهه 1980 میلادی بود .پیشرفت این علم کاملا منطبق و وابسته به پیشرفت صنایع الکترونیک و کامپیوتر است .

کامپیوترها یکی از مواردی هستند که بیشترین هدف برای انجام آزمایشهای کشف جرم هستند اما تجزیه و تحلیل های مربوط به کشف جرائم صرفا به کامپیوترها ختم نمی شود . گوشی های تلفن همراه ، PDA ها ، دوربین های عکاسی و پیجر ها و هر چیزی که مربوط به تجهیرات الکترونیکی باشد می تواند مورد تجزیه و تحلیل قرار بگیرد .

حملات هکری انجام شده و سوء استفاده کارکنان از کامپیوترها نیز به نیاز های سازمان مبنی بر آزمایش تجهیزات الکترونیکی اضافه شده است .شیوه نامناسب اداره کردن نقاط مهم یک سازمان می تواند میلیون ها تومان برای سازمان هزینه در بر داشته باشد . شرکت ها و سازمان ها باید این تجهیزات و داده ها را به خوبی نگهداری کنند . به دلیل اینکه اطلاعات الکترونیکی به راحتی قابل تغییر هستند ، آزمون کشف جرم معمولا به سه مرحله تقسیم می شود :

1. پیدا کردن و ذخیره سازی : معمولا در اولین مرحله از این آزمون شما بایستی تا می توانید اطلاعات جمع آوری کنید . معمولا به این فرآیند bit level copy نیز گفته می شود . Bit Level Copy به این معناست که از هر اطلاعاتی که در حال حاضر به عنوان اطلاعات اصلی موجود است یک کپی گرفته شود بطوریکه کسانی که مشغول آزمایش اطلاعات و داده های موجود جهت بررسی اسناد جرم هستند بتوانند با خیال راحت یک کپی برای انجام بررسی ها از داده ها برداشته و بر روی آن آزمایش های خود را انجام دهند. این عمل باعث می شود اطلاعات و داده های اصلی بدون تغییر و قابل استناد باقی بمانند .
2. سندیت و تصدیق : این فرآیند به کارشناس جرم این امکان را می دهد که ثابت کند اطلاعاتی که بر روی آنها بررسی ها و کارشناسی ها انجام شده است صحیح و درست و بدون تغییر هستند و می توان به عنوان سند جرم از آنها استفاده کرد. اینکار بصورت عمده به وسیله استفاده از الگوریتم های Hash و دریافت Hash هر یک از اطلاعات موجود در قسمت اول توسط الگوریتم های Hashing مانند MD5 و یا SHA انجام می شود . الگوریتم های Hashing مانند MD5 و SHA توانایی این را دارند که صحت اطلاعات را تایید کنند و ثابت کنند که اطلاعات در بین راه دستکاری و تغییر نکرده است و به همین دلیل نیز قابل استناد هستند .
3. تجزیه و تحلیل : کارشناس جرائم رایانه ای بایستی بسیار با دقت اطلاعات و داده های موجود را تجزیه و تحلیل و آزمایش کند و مراحل کار را بصورت کامل مستند سازی کند. معمولا یک کارشناس جرائم رایانه ای با استفاده از بازگردانی اطلاعات از فضای پرت درایو ها ، فضای پرت فایل ها ، فایل های مخفی ، اطلاعات جابجا شده ، کش اینترنت و سایر فضاهای کامپیوتر مانند سطل زباله داده ها و اطلاعات مورد نیاز خود را تامین می کند . تمامی این اطلاعات طبق مراحل ذکر شده در مرحله دوم بوسیله الگوریتم ها و روش های ذکر شده کپی برداری می شوند و اطلاعات اصلی در یک جا بدون تغییر باقی می ماند .

بررسی مدارک و شواهد یا Handling Evidence

در فرآیند کشف جرائم رایانه ای بررسی شواهد و مدارک مهمترین قسمت فرآیند محسوب می شود . این فرآیند توسط روشی به نام Chain Of Custody انجام می شود . Chain Of Custody در حقیقت خود یک فرآیند است که به وسیله آن کلیه آزمایش هایی که بر روی مستندات و مدارک و شواهد موجود انجام می شود بصورت کامل مستند سازی شده و در هر بار دسترسی به این شواهد و مدارک از این دسترسی و بررسی های log برداری می شود به گونه ای که این بررسی ها برای ارائه در دادگاه جرائم رایانه ای قابل استناد باشد. یک Chain Of Custody کامل شامل گزارشی است که در آن دقیقا به دستورالعمل ها و فعالیت هایی که بر روی مدارک و شواهد و اسناد موجود انجام شده است اشاره شده است. همیشه به خاطر داشته باشید که تغییرات و بررسی ها بر روی یک کپی از اطلاعات اصلی انجام می شود و اطلاعات اصلی بدون تغییر در مکانی امن نگهداری می شوند .

آزمایش مدارک و شواهد یا Trace Evidence

یا قانون همیشگی برای انجام آزمایش مدارک و شواهد وجود دارد ، هرگاه دو شیء به همدیگر تماس داشته باشند ، قطعا انتقال صورت خواهد گرفت . نتیجه آزمایش این مدارک و شواهد و انتقال اطلاعاتی که انجام شده است برای تعیین مکان ، اشیاء و اشخاصی که در این جرم نقش داشته اند موثر است.همیشه به خاطر داشته باشید که هر اندازه هم که مجرم دانش داشته باشد در نهایت قطعا اثری از خود باقی خواهد گذاشت . هرچند که مجرمین معمولا آثاری را که از جرمشان باقی مانده است را حذف و حتی کش های موجود را پاک می کنند اما همیشه و همیشه نقطه ای برای انجام آزمایش ها باقی می ماند هر چند که این نکته بسیار ریز باشد .

پاک کردن درایو یا Drive Wiping

پاک کردن درایو یا Disk Wiping فرآیندی است که بر روی تمامی مکانهای قابل آدرس دهی دیسک ها اطلاعات را بازنویسی می کنیم . استاندارد پاک کردن درایو یا Drive Wiping وزارت دفاع ایالات متحده به شماره #52220-22M اینطور اعلام می کند : برای پاک کردن درایو ها بایستی کلیه مکان های قابل آدرسی دهی ابتدا یکبار با یک کاراکتر آدرس دهی شوند ، سپس مکمل آن کاراکتر بایستی مجددا در همان مکان آدرس دهی شود و در نهایت یک کاراکتر تصادفی در آن آدرس قرار گرفته و مجددا آزمایش شود .

با استفاده از بازنویسی چند باره اطلاعات بر روی رسانه های اطلاعاتی یک سازمان می تواند احتمال بازگردانی اطلاعات را تا حد زیادی کاهش دهد . همیشه سازمان های مختلف در خصوص از بین بردن اطلاعات موجود بر روی رسانه های دخیره سازی دچار مشکل بوده اند و این نگرانی که ممکن است اطلاعات از روی اینگونه رسانه های بازیابی شود همیشه دغدغه اصلی سازمان ها بوده است . استفاده از روش های پاکسازی درایو با استفاده از روشی که ذکر شد یکی از روش هایی است که سازمان ها از آن استفاده می کنند اما توجه داشته باشید که همین روش نیز می تواند ابزاری برای استفاده مجرمین برای از بین بردن آثار جرمشان یا به اصطلاح Covering Tracks باشد .

استاندارد سازی دستورالعمل های کشف جرائم رایانه ای

در مارچ 1998 سازمان بین المللی مدارک و شواهد رایانه ای ( IOCE ) تصمیم به ایجاد یک فرآیند و دستورالعمل استاندارد مرتبط با شواهد و مدارک دیجیتال گرفت. قبل از این زمان هر کشور برای خود روش و راهکاری متفاوت برای کشف و مستند سازی جرائم رایانه ای در اختیار داشت که شاید در دادگا های جرائم رایانه ای کشور ها و یا حتی شهر های مختلف آن کشور نیز قابل استناد نبودند. هدف این سازمان یکپارچه سازی روش ها و تمریناتی بود که ملل مختلف برای کشف و مدیریت شواهد و جرائم رایانه ای انجام می دادند ، بطوریکه این مدارک را بتوان در دادگاه های مختلف دنیا نیز ارائه و از آنها دفاع کرد . سازمان بین المللی مدارک و شواهد رایانه ای (www.ioce.org) شش اصل را برای دستیابی به این هدف و استاندارد تدوین و ارائه کرد که شرح ذیل می باشند :

1. زمانی که با شواهد و مدارک دیجیتال روبرو هستید ، تمامی مراحل استاندارد و تایید شده در خصوص کشف جرائم رایانه ای بایستی اعمال شود .
2. به هنگام به دست آوردن اطلاعات و شواهد دیجیتال ، عمل انجام شده به هیچ عنوان نبایستی اطلاعات دیجیتال اصلی را تحت تاثیر قرار دهد و اطلاعات اصلی بایستی دست نخورده باقی بمانند .
3. زمانی که قرار است شخصی به اطلاعات و شواهد و مدارک دیجیتال اصلی دسترسی پیدا کند ، این شخص بایستی آموزش های لازم را دیده باشد ، ضمن اینکه به مورد دوم نیز حتما توجه کند .
4. تمامی فعالیت های مربوط به بررسی شواهد و مدارک دیجیتال اعم از به دست آوردن ، دسترسی ، ذخیره سازی و انتقال بایستی بصورت تمام و کمال و در یک قالب استاندارد مستند سازی و نگهداری شوند به شکلی که در هر زمان که مورد نیاز بود قابل دسترس و نمایش باشند .
5. زمانی که شخصی به عنوان مسئول نگهداری و یا بررسی شواهد و مدارک دیجیتال معرفی می شود ، این شخص مسئول تمامی اعمالی است که بر روی این شواهد و مدارک انجام می شود.
6. هر شرکت یا آژانسی که مسئولیت بدست آوردن ، دسترسی ، ذخیره سازی و انتقال شواهد و مدارک دیجیتال را بر عهده دارد ، بایستی موارد فوق را کاملا درک و به آن عمل کند .

دستگاه های قانونی اصلی یا Major Legal Systems

دستگاه های قانونی متفاوتی در دنیا وجود دارد که هر کدام بر اساس قوانین خاص خود جرائم را بررسی می کنند ، این تفاوت های می تواند در نوع حقوق متهم ، نقش قاضی ، ذات مدارک و شواهد و بسیاری دیگر از مسائل و موارد قانونی باشد . این دستگاه های قانونی مسائل را با روش های خاص خود بررسی و پیگیری می کنند، در زیر اسامی برخی از این نوع قوانین را مطرح می کنیم :

1. قوانین غیر نظامی : این نوع قوانین به قوانین ناپلئونی نیز معروف هستند . این نوع قوانین در اروپا تدوین شده اند و مورد استفاده قرار می گیرند ، این نوع قوانین طیف وسیعی از قوانین را شامل می شوند و بصورت تدوینی نوشته شده و در دادگاه ها مورد استفاده قرار می گیرند .
2. قوانین عمومی : این نوع از قوانین در انگلستان تدوین شد و در حال حاضر در ایالات متحده آمریکا ، کانادا ، استرالیا و نیوزیلند استفاده می شود . در این نوع قانون متهم تا زمانی که جرمش ثابت نشده است بی گناه است .
3. قوانین مرسوم : اینگونه قوانین معمولا با یک سیستم یا دستگاه قانونی دیگر ترکیب می شوند . اینگونه قوانین بر پایه و اساس رسوم و شیوه اداره خاص یک ملت تدوین می شوند.
4. قوانین اسلامی : اینگوه قوانین که در کشورهای اسلامی رواج دارد بر اساس آیین ها و دستورالعمل های تدوین شده است که در کتاب مقدس قرآن کریم آمده است.
5. قوانین مدنی : در قوانین مدنی چیزی به نام زندان وجود ندارد . در اینگونه دستگاه های قانونی مجرمین معمولا با جزاهای نقدی تعیین شده بر اساس قوانین جریمه می شوند.
6. قوانین تبهکاران : قوانین تبهکاران برای تنبیه کردن کسانی به کار برده می شود که از قوانین تبیین شده تبعیت نکرده اند . تنبیه در اینگونه قوانین می تواند جزای نقدی یا حبس و یا هر دوی این موارد باشد .
7. قوانین مدیریتی : استانداردهای قوانین مدیریتی بر اساس اطلاعاتی که از کارایی و ارزش هایی که به وسیله آژانس های دولتی از طریق صنایع ، سازمان ها ، مراجع عالی رتبه و ماموران دریافت می شود وضع می شوند . اشخاص و سازمان هایی که از این قوانین تخلف کنند ، بر طبق قانون توسط جزای نقدی و یا حبس تنبیه خواهند شد .اینگونه قوانین معمولا به سازمان هایی همچون تامین اجتماعی ، بیمه ها و شرکت های دارو سازی اعمال می شوند .

انواع شواهد و مدارک Evidence Types

بدست آوردن ، کنترل کردن ، ذخیره سازی و نگهداری شواهد و مدارک برای انجام تحقیقات قانونی بسیار مهم و حیاتی است .شواهد و مدارک می تواند بصورت کامپیوتری ، شفاهی و یا مکتوب باشند . به دلیل اینکه شواهد و مدارک کامپیوتری به راحتی قابل تغییر و دستکاری هستند ، به هنگام انجام بررسی ها و بازرسی ها بایستی تمهیدات نگهداری ویژه ای برای آنها در نظر گرفته شود . هر یک از انواع شواهد و مدارک برای ارائه شدن در دادگاه جرائم رایانه ای دارای سطح و کیفیت خاص خود هستند . شواهد و مدارکی که برای ارائه در دادگاه جرائم رایانه ای آماده می شوند بایستی از استانداردهای زیر پیروی کنند :

1. با موضوع مطابق و مربوط باشد
2. بصورت قانونی مجاز باشد
3. معتبر و قابل اعتماد باشد
4. قابل شناسایی باشد
5. بصورت مناسبی مستند سازی و نگهداری شده باشد

با توجه به اینکه شواهد و مدارک متوع و مختلفی در کامپیوتر وجود دارد ، روش های متنوع و مختلفی نیز برای دست آوردن شواهد و مدارک وجود دارد که همین روش ها می تواند قانونی یا غیر قانونی نیز باشند و بر طبق این کسانی که در این مرحله قانون را زیر پا بگذارند تحت تعقیب قانونی قرار خواهند گرفت ، استناد قانونی به شواهد و مدارک می تواند بر اساس معیارهایی که در زیر ذکر می شود تعیین شود :

1. مدارک و مستندات اولیه (بهترین و معتبرترین مدرک ) : بهترین و معتبرترین مدرک در حقیقت آن سندی است که می توان به آن بیشترین اعتماد را داشت و بیشترین اتکا نیز در دادگاه بر این نوع مدرک استوار است . مستندات اصلی بدیت آمده میتواند نمونه ای از اینگونه مدارک باشند .
2. مدارک و مستندات ثانویه : اینگونه شواهد و مدارک به قدرت مدارک و مستندات اولیه نیستند اما برای ارائه در دادگاه همچنان می توان به آنها اتکا کرد . یک کپی از مدرک به همراه محتویات به علاوه توضیحات شفاهی برای توجیح و تشریح آن می تواند نمونه ای از یک مدرک ثانویه باشد .
3. شنیده ها و شایعات : این نوع از مستندات و مدارک به دلیل اینکه اطلاعات دست دوم و غیر قابل استناد محسوب می شوند در دادگاه قابل اثبات و ارائه نیستند . برخی از رکورد هایی که در کامپیوتر وجود دارد و همچنین یادداشت های تجاری و امثال اینها می تواند نمونه ای از شنیده ها و شایعات باشد.
4. شواهد و مستندات مستقیم : اینگونه مدارک معمولا بر طبق اظهارات و شواهدی است که توسط حواس پنج گانه بدست می آید ، شنیداری ، بینایی .... معمولا برای اثبات در دادگاه قابل استناد نیستند اما می تواند در حل موضوع کمک کنند .
5. بدام انداختن و تله گذاری : به دام انداختن روشی است که از طریق مجوز مراجع قانونی وضعیتی مانند طعمه گذاری انجام می شود تا بتوان فعالیت های موجود را تجزیه و تحلیل و فعالیت های مشکوک را بررسی کرد . پیاده سازی ساختار هانی پات یا ظرف عسل می تواند بسیار در بررسی و تجزیه و تحیلی حملات هکری که بر روی شبکه و سیستم های شما و مطالعه بر روی هکر ها کمک کند . تله گذاری به این روش انجام می شود که برای شخصی که مضنون است طعمه ای آماده می شود که وی را تحریک به انجام عملیات غیر قانونی خود کند و در نتیجه شخص دستگیر و مدارک بررسی می شود .

محاکمه یا Trial

معمولا دو نوع محاکمه انجام می شود ، اولین محاکمه توسط قاضی دادگاه و دومین محاکمه توسط هیئت منضفه یا اعضای هیئت ژوری انجام می شود . بیشتر اعضای هیئت ژوری معمولا از اعضای مورد اعتماد و رسمی بومی همان منطقه جغرافیایی دادگاه هستند . جرائم رایانه ای برای تعقیب و پیگیری نسبت سایر جرائم بسیار سخت تر هستند.

دلایل اصلی این امر پیشرفت همه روزه فناوری ها و همچنین کندی اعمال تغییرات در دستگاه های قانونی است . حتی زمانی که اینکار با موفقیت انجام شود و جرم این افراد اثبات شود ، روشی که با اینگونه افراد برخورد می شود با سایر تبهکاران متفاوت است زیرا اینگونه جرائم به نوعی جرائم به اصطلاح White Color یا سفید رنگ هستند و از اینگونه مجرمین می توان در جهت منافع سازمان ها استفاده و بهره برداری کرد .

اگر می خواهید مباحث امنیت شبکه و تشخیص نفوذ را به خوبی یاد بگیرید به دوره آموزش کشف جرائم رایانه ای در این لینک مراجعه کنید.