Hazánkban is egyre gyakoribbak a számítógéppel elkövetett bĹąncselekmények, melyek kivizsgálása a computer forensic szakértők feladata. A Deloitte és a NetAcademia együttmĹąködése révén hazánkban először indul magyar nyelven Computer Hacking Forensic Investigator tanfolyam. Ráadásul annak legújabb, 4-es verziója, mely Európában elsőként Magyarországon lesz elérhető.

Az internetes bĹąnözéssel foglalkozó Internet Crime Complaint Center (IC3) honlapjára 2008-ban összesen 275 284 panaszos beadvány érkezett, a különféle csalások áldozatai összesen 264,6 millió dolláros kárról számoltak be. „Külföldön bevett gyakorlat, hogy jelentik a számítógéppel elkövetett csalásokat, nálunk azonban még kevésbé jellemző. Sok esetben nem is derül fény a visszaélésre, így egyelőre nem ismert pontosan a hasonló jellegĹą bĹąncselekmények száma, de tapasztalataink alapján Magyarországon is egyre gyakoribbak az efféle visszaélések” – magyarázza Barta Csaba, a Deloitte Zrt. IT biztonsági tanácsadója.

A köz- és a magánszféra egyaránt veszélyeztetett

„Mind a magán-, mind a közszférában előfordulnak ilyen típusú bĹąncselekmények. Az üzleti életben az esetek többségében ’házon belül’ folyik le a vizsgálat, és nem feltétlenül van büntetőjogi következménye, belső munkatárs esetén inkább a munkaviszony megszüntetése jellemző. A közszférában felfedett visszaélések általában nagyobb médiavisszhangot kapnak, és nagyobb arányban van büntetőjogi következményük is” – mondja a szakember. A vizsgálatot általában a helyi IT-biztonsági csapat végzi el. Ha azonban az eset felderítése túlmutat a belső szakemberek képességein vagy erőforrásain (vagy akár a csapat valamely tagjával kapcsolatos), illetve ha jogi útra terelődik az ügy, külső computer forensic szakértőre van szükség.

Sok a rabló, kevés a pandúr

„Annak ellenére, hogy a számítógépes bĹąnözés egyre nagyobb méreteket ölt, és újabb és újabb területeket ’hódít’ meg, hazánkban eddig nem létezett magyar nyelvĹą computer forensic képzés – mondta Fóti Marcell, a NetAcademia Oktatóközpont ügyvezetője. – Ezért döntöttünk úgy, hogy a Deloitte-tal közösen elindítjuk az EC-Council Computer Hacking Forensic Investigator tanfolyamát, melynek legújabb, 4-es verziója Európában először nálunk lesz elérhető.”

„A tanfolyam célja, hogy ezt a viszonylag szerteágazó területet összefogja és bemutassa az ehhez kapcsolódó hazai és a nemzetközi jogi szabályozást, az egyes bĹąncselekménytípusokkal együtt. Szeretnénk azt is körbejárni, hogy milyen jogi akadályai lehetnek a forensic vizsgálatoknak, és hogy milyen előzetes feltételeket kell kialakítani ahhoz, hogy egy ilyen vizsgálat a leghatékonyabb legyen” – mondja dr. Vízi Linda a Deloitte Zrt. IT biztonsági csapatának jogi szakértője.

A kurzuson – melyből az érdeklődők már ízelítőt kaphattak az idei Ethical Hacking konferencián – a számítógép felhasználásával vagy számítógépes rendszer ellen elkövetett bĹąncselekmények felderítését ismerhetik meg a hallgatók. Ide tartozhatnak például az adatszivárgással kapcsolatos esetek, a számítógépes betörések, hackertámadások, a zsaroló üzenetek vagy az illegális CD-, DVD-másolatok készítésének vizsgálata. A résztvevők ezen felül megismerkedhetnek például a forensic-kel kapcsolatos, nemzetközi bíróságok által is elfogadott eljárásrendekkel, a szükséges hardverekkel és szoftverekkel, a hálózati eszközök és forgalom forensic vizsgálatával, törölt adatok visszaállításával.

Törölt adatok visszaállítása? Hogyan? Honnan?

Az elkövetők rendszerint törekszenek a nyomaik eltüntetésére. Ennek során a leggyakoribb a terhelő adatokat, képeket tartalmazó állományok törlése. Emiatt a visszaállított adatok sok esetben bizonyítékot jelentenek az elkövetővel szemben. Az összetettebb állományformátumok (pl. Microsoft Word vagy Excel) olyan információkat is tartalmazhatnak, amelyek alapján fény derülhet arra, hogy a bennük tárolt adatokat ki, mikor, melyik számítógépen hozta létre, módosította, nyomtatta ki.

Az adatok „törlése” nem minden esetben jelenti az adatok tényleges megsemmisülését. Az operációs rendszerek a törlés elvégzésének gyorsítása érdekében (pl. több száz állomány egyidejĹą törlése) nem minden esetben végzik el az adatok tényleges eltávolítását az adathordozóról, csak a saját nyilvántartásukban jelzik, hogy az adat által foglalt terület üressé vált. Ez a megoldás nagyban segíti a teljesítmény növelését, azonban az adatok ott maradnak az adathordozón és mindaddig hozzáférhetőek, amíg az őket tartalmazó (már üresnek jelölt) területre más állományok nem íródnak.

A visszaállítás során az elsődleges probléma, hogy az adatok az adathordozón nem folytonosan helyezkednek el: a szétszórt „darabokból” kell újra összeállítani az eredeti állományt. A probléma megoldására sok módszer ismert, a teljes visszaállítás azonban nem minden esetben lehetséges.

Barta Csaba computer forensic előadásának felvétele itt érhető el.