INVESTIGAREA FRAUDELOR INFORMATICE

INVESTIGAREA ON-LINE

In cazul retelelor locale comportamentul utilizatorilor este înregistrat în fişiere-jurnal (log

files) si poate fi păstrat [în servere] câteva zile

In situatia unor investigari in Internet se procedeaza la:

o securizarea probei
o cooperare naţională / internaţională cu furnizorii de servicii
INTERNET, cu operatorii de telecomunicaţii etc.
o sincronizarea setărilor unui sistem in timpl real.

FIŞIERE–JURNAL

a) Fişiere-jurnal ale serverelor (HOST)

– în funcţie de sistemul de operare (MS Windows / UNIX );

b) fişiere-jurnal ale aplicaţiilor client (soft de comunicaţie pe INTERNET în vederea

realizării unor servicii)
– se generează fişiere log specifice;

c) fişiere-jurnal de telecomunicaţii (conectare la INTERNET prin reţea telefonică);

d) fişiere-jurnal stocate pe servere ISP (Internet Server Provider)

– referiri la momentul accesării, durata conexiunii, momentul deconectării;

e) fişiere-jurnal de accesare a Internetului de către un utilizator aparţinând unei reţele

locale
- fişiere de log de protecţie locală.

MIJLOACE DE LOCALIZARE ŞI IDENTIFICARE A SUBIECTULUI INVESTIGAT

Pentru platforme WINDOWS / UNIX–aplicaţii client care comunică cu serverele se pot utiliza
urmatoarele produse-program :

TRACEROUTE : stabileşte ruta până la o anumită adresă, identificând „porţile de acces”.

HOST : convertirea între adresa de INTERNET şi numele serverului gazdă.

FINGER : informaţii despre un utilizator pe un anumit sistem.

DIG : informaţii de pe serverele de domenii (Domain Name Servers).

PING : verifică dacă un server poate fi accesat cu solicitări.

WHOIS : informaţii detaliate despre orice site Web.

TELNET : conectare ala un anumit port, ca alternativă la FINGER (depind de configurarea

calculatorului).
 2

PRELEVAREA ŞI ANALIZAREA PROBELOR

VERIFICĂRI / PERCHEZIŢII ÎN MEDIUL INFORMATIC

 Solicitarea autorizaţiei de percheziţie

 locul de analiză a probelor:
 laborator specializat
 locul faptei

 mediile care urmează a fi cercetate :

 calculatoare (individuale)
 reţele de calculatoare
 medii de stocare portabile

 identificarea persoanelor pentru audieri

 identificarea a 2 martori (asistenţi) neutri).

Referitor la E-MAIL
a) partea superioară (header)
b) partea inferioară (body).

HEADER :  proprietăţile mesajului (header details)

 uneori adresa de IP a calculatorului de pe care s-a realizat
conexiunea.

FIŞIERE ataşate la e-mail (attachement);

ex. fişiere document cu extensie (doc/bmp/jpeg).

AGENDE cu adrese e-mail :

o la gestionarii de poştă electronică.

Cand se folosesc fişiere jurnal :

o se lucrează numai cu copii

o datele stocate şi eventual sortate în funcţie de cerinţe
o regruparea informaţiilor în odine cronologică (timeline)
o corecţii.

Pentru analiza probelor se pot folosii si fişiere temporare

Informaţii importante, create în sistemele de operare, pentru a creşte capacitatea de prelucrare
şi memorare.
Directoarele :  Temporary
 Temporary Internet Files (Windows Explorer)
 Cache (Netscape Navigator)
 Swap file (Windows).

In cazul pagini web investigarea se refera la :

o observarea directă a site-ului
o harta site-ului (inclusiv link-uri)
o locaţia fizică a site-ului (server)
 3
o copierea (download)
o analiza mediilor de..stocare
o „profilul” suspectului :

Referit la GRUPURILE DE DISCUŢII (Usenet)

• discuţii pe subiecte ilegale ( nu în timp real)

• servere în alte ţări
• comercializare de produse rezultate din activităţi infracţionale

Referitor la H A C K I N G se pot preciza urmatoarele etape :

– cunoaşterea codului juridic
– identificarea pagubelor (colaborare cu victima)
– crearea unor copii de siguranţă
– colectarea unor informaţii legate de sistemul informatic
– colectarea şi analiza fişierelor log (jurnal)
– identificarea făptuitorilor
– eventual, solicitarea unor cooperări externe.

Referitor la VIRUŞI INFORMATICI se pot preciza urmatoarele actiuni :

• modul de realizare a „infectării”

• elementele sistemului informatic afectate
• mod de declanşare, general
• pierderi / distrugeri
• mod de detectare
• copii, pe alte calculatoare a fişierelor infectate
(inclusiv COM, EXE, COMMAND COM, A TOEXEC BAT, CONFIG SYS)
• identificarea surselor infectării.

Referitor la INVESTIGAREA TRANSFRONTALIERĂ se utilizeaza :

Sistem INTERPOL : The Reference Poits for Computer – related crime NCRP’s . Cu ajutorul
acestui sistem se stabilesc urmatoarele elemente :

– stabilirea jurisdicţiei, pe baza legislaţiilor naţionale, având în vedere criteriile :

● locaţia fizică a calculatorului utilizat în săvârşirea faptei
● reşedinţa făptuitorului
● locul de producere a consecinţelor activităţii infracţionale

– respectarea tratatelor internaţionale (bilaterale).