Ahoj,
možná trošku specifický dotaz, ale řešili jste někdo něco podobného?
spoleháte se „jen“ na služby jako webarchive atd.
nebo máte jiný přístup, napadá mě zabalení do ZIPu + eIDAS kvalifikované časové razítko
Dík
A
2 Líbí se
Ahoj,
nepohybuju se čistě v digital forensics prostoru, ale pracovně to čas od času řešíme, tak pár high-level poznámek níže:
-
Hash hned po zachycení – SHA-256 (případně SHA-3) na celý archiv i na jednotlivé soubory zvlášť, zapsaný do samostatného manifestu (třeba přes
sha256sum). Nespoléhat jen na integritu ZIPu jako takového. -
WARC místo (nebo vedle) ZIPu – na rozdíl od screenshotu/PDF zachovává HTTP hlavičky, celý request/response pár a metadata. Generuje se třeba přes
wget --warc-file, nebo nástrojem Hunchly (placený, dělaný přímo pro OSINT/investigativní použití, loguje i časovou osu prohlížení). -
Kvalifikované časové razítko (eIDAS) – vlastně prima nápad, jen bych doplnil, že v ČR to typicky řeší I.CA nebo PostSignum (RFC 3161 TSA). Výhoda je, že podle eIDAS má kvalifikované razítko právní prezumpci správnosti data a integrity dat.
-
Blockchain anchoring, pokud by to bylo relevantní – OpenTimestamps je docela cool a zdarma nástroj, který ti ukotví hash do Bitcoin blockchainu, takže máš nezávislý, decentralizovaný důkaz, že daný hash existoval nejpozději v čase X. Právně to nenahrazuje kvalifikované razítko, ale je to hezká druhá vrstva, která nezávisí na jedné instituci.
-
WORM/immutable storage – jakmile máš archiv + hash + razítko, ulož to někam, kde to nejde (ani omylem) přepsat – S3 Object Lock v compliance módu, Azure immutable blob storage, případně prostě víc nezávislých kopií na různých místech. Redundance = obtížnější zpochybnit manipulaci.
-
Dokumentace procesu sběru – kdo, kdy, jakým nástrojem a jakou verzí/nastavením. Chain of custody dokument zní možná přehnaně formálně pro webovou archivaci, ale u incidentů, které mohou skončit u soudu nebo pojišťovny, se fakt vyplatí mít to napsané hned v moment sběru, ne zpětně, je to za mě obecně good practice i ve firemním prostředí, když se řeší nějaký incident.
-
Screen recording zachycení – u sporných případů (např. dokazování, že určitý obsah byl na webu v čase X) bývá silnější mít video obrazovky s viditelnou URL a časem systému (ideálně synchronizovaným přes NTP) při živé navigaci, než statický snapshot.
Pokud jsem to dobře pochopil, pro inspiraci ještě mrkni na Perma.cc – projekt Harvard Law School knihovny, řeší přesně tenhle problém pro právní/akademické citace (screenshot + WARC + trvalé hostování). Stojí za to se podívat, jak to mají navržené.
Pokud bys náhodou řešil spíš forenziku zařízení (ne jen webový obsah), tak tam je samozřejmě jiná liga nástrojů, ať už třeba Autopsy/Sleuth Kit, FTK Imager pro forenzní image disku atd., ale znělo to, že tvůj případ je zatím jen o webovém/digitálním obsahu.
2 Líbí se
Díky moc za skvělé a detailní shrnutí!
Přesně o tohle mi šlo, neměl bys náhodou vzor třeba interního SOP nebo jiného dokumentu, od kterého bych se mohl odpíchnout? Potřeboval bych, aby to v organizaci ukotvit aby si to byli schopni předávat i když už tam nebudu.
Šablonu bohužel sdílet nemůžu ~ jde o interní materiál, na který se vztahuje NDA, a část je navíc ušitá na míru konkrétním klientům, takže vytržená z kontextu by ti stejně moc nepomohla. Co ale klidně můžu nabídnout, je shrnutí rámců a principů, na kterých jsme to řešili (jen teda pozor, pohybujeme se v rámci US i EU prostředí, nejen EU) – ať máš aspoň kostru, kterou si postavíš podle vlastního kontextu.
Rámce, ze kterých vycházíme:
- ISO/IEC 27037 – identifikace, sběr, akvizice a uchování digitálních důkazů
- NIST SP 800-86 – integrace forenzních postupů do incident response
- SWGDE Best Practices – obecná metodika pro nakládání s digitálními důkazy
- eIDAS (910/2014) – právní rámec pro kvalifikovaná časová razítka
- ETSI TS 119 511 / TS 119 512 – technický doplněk k eIDAS, který řeší dlouhodobou platnost razítek a podpisů (co se stane, až algoritmus/certifikát, kterým je razítko podepsané, za pár let zastará)
- OAIS (ISO 14721) a na něj navazující MoReq2010 / E-ARK (iniciativa DLM Forum a Evropské komise) – referenční modely pro to, jak stavět archivační systém tak, aby fungoval institucionálně, ne na jedné osobě
- GDPR a NIS2 jako regulatorní kontext – nejde o „jak archivovat“, ale ovlivňují retenci, nakládání s osobními údaji v archivu a případně reportovací povinnosti, pokud jde o incident v kritickém sektoru
Jak jsme to postavili (principiálně):
- Oddělení rolí – kdo důkaz sbírá, nikdy není ta samá osoba, co následně nezávisle ověřuje integritu. U nás to vyplynulo hlavně z bezpečnostních incidentů, kde jsme potřebovali mít jistotu, že záznam obstojí i při zpětné kontrole.
- Standardizovaný postup sběru – identifikace zdroje, synchronizace času, zachycení, okamžitý hash, zápis do řetězce péče, časové razítko, uložení do immutable úložiště s redundancí, nezávislé ověření. Pořadí a rychlost (hash hned po zachycení, ne dodatečně) je podle nás to nejdůležitější.
- Chain of custody se vede průběžně, ne zpětně i za tu cenu, že zápis je zpočátku stručný a doplní se později.
- Pravidelná revize – namátkové re-ověření hashí, test obnovy ze záložních kopií, kontrola platnosti certifikátů u poskytovatele razítek a případný re-timestamp starších záznamů.
- Explicitní „předání znalostí“ jako samostatná část procesu, ne jen předpoklad – přístupy vázané na roli (ne na osobu), zaškolení na nástroje, kontakty na dodavatele razítkovací služby.
Snad tohle aspoň pomůže s nějakým širším kontextem.
2 Líbí se
Chápu, každopádně díky moc, dostal jsem mnohem víc info, než jsem na začátku doufal, a ušetří nám to hromadu času.
2 Líbí se