ما هو التحقيق الجنائي الرقمي ؟

لكل نوع من الجرائم اشخاص مختصون وللجرائم الالكترونيه هناك عده دراسات وعلوم وادوات يتم استخدامها لتحليل الجرائم وفحصها لاكتشاف الجاني وهو ما يعرف بمجال التحقيق الجنائي الرقمي .

عباره عن فحص جهاز الجاني او المشتبه به من قبل المحققين، فمثلاً اذا تمت جريمه عن طريق الحاسوب او الاجهزه الذكيه المختلفه، فياتي المحقق إلمتخصص ليفحص ما به لكن باستخدام ادوات خاصه ودراسات سابقه وكل ما هو ممكن والهدف منها لجمع الادله المطلوبه لكي تُعطي للنيابه اثناء عمليه التحقيق.

عمليه التحقيق الجنائي الرقمي ليست مقتصره فقط علي اﻷجهزه الالكترونيه او ادله ملموسه (Hardware) بل من الممكن ان تكون ايضاً عمليه تتبع لبعض اﻷدله والامور التي تم اجرائها اثناء عمليه الاختراق او بعد عمليه الاختراق من خلال تحليل ملفات النظام وتتبع اثراه والحركات التي قام بها او يقوم بها في نفس اللحظه وهذه الامور جميعها تفيد في عمليه التحقيق الجنائي الرقمي ليس فقط لمعرفه الجاني بل لمعرفه نقاط ضعف الموقع لديك من خلال تحليل الحركات التي قام بها المخترق اثناء عمليه الاختراق.

في حال  وجود اي اشعار يدل علي وجود عمليات اختراق سواء من خلال مراقبتك الدوريه لملفات log او من خلال متابعه الاشعارات الناتجه عن الجدار الناري الموجود علي السيرفر مثل csf firewall وسوف يحاول البرنامج تحديد الايبيهات التي حاولت التخمين والدخول علي السيرفر من جهه وايضاً سوف نحاول نحن كمحقيقين جنائين ان نلقي نظره علي ملفات access log لكي نحلل الحركات التي قام بها المخترق علي تطبيق الويب الخاص بنا وسوف نحاول معرفه الطرق التي حاول المخترق للدخول للموقع من خلالها.

دعونا نلقي نظره عن احد السيرفرات فقمت بعمل سيرفر وهمي وحاولت اختراقه

فبمجرد طلب ملف access log الخاصه بخادم الويب Apache ومعرفه ما الحركات التي ممكن ان يكون المخترق قد قام بها ومعرفه ما هي الامور الضاره التي حاول ان يفعلها .. للنظر علي هذه الصوره كتوضيح اكثر للموضوع .

دعونا نقرا السطر ما قبل الاخير لكي نشاهد ان الايبي “127.0.0.1” قام بتاريخ “16/May/2013:12:49:59″ طلب الملف “cat.php” كما قام ايضاً بارسال الطلب “

i’am trying to xss this site

” فنستنتج من هذا الطلب بانه يحاول ان يحقن اكواد html لمحاوله استغلال واكتشاف ثغره xss موجوده بالتطبيق وعلي ذلك يتم حجب هذا الايبي لانه يحاول ان يخترق هذا الموقع وكما لاحظنا من خلال حقن اكواد html لمحاوله اكتشاف ثغره xss.

كان هذا الجزء الاول حيث تم رصد محاوله لاختراق الموقع بتاريخ والاي بي الخاص بالهاكر تاتي الان دور   جهات حكوميه قامت باقتحام منزل هاكر واعتقاله و اخذ جميع الادوات والامور التقنيه الموجوده في منزل الهاكر .. بالتاكيد لم ياخذوها فقط لكي يثبتوا التهمه عليه ! بهل قامو بمصادره وحجز جميع الادوات لكي يقوموا بتحليلها واستخراج ادله قاطعه بان العمليه تمت علي هذا الجهاز

ناتي الي الجانب الاخر وهو استخراج ادله قاطعه من جهاز الهاكر … وياتي دور المحقق الجنائي الرقمي واسطوانه ftk

ال FTK يعتبر اكبر واقوي اسطوانه تستعملها الشرطه التي تُستخدم في التحقيقات الرقميه فمثلاً بمجرد حصول المحقق العادي علي الجهاز المستخدم في الجريمه الالكترونيه يستدعي المحقق الجنائي الرقمي فيحصل علي الجهاز وهنا ياتي دوره في الفحص .. فهذه الحزمه تفحص القرص الصلب فحص كامل بحثاً عن معلومات مختلفه فمثلاً نجد فولدرات مختفيه وتم مسحها فتظهرها ويمكن لهذه الحزمه مساعدته في رؤيه كافه الرسائل الالكترونيه التي استخدمها الجاني في تهديد او ما شابه اي يقرا البريد الاكتروني بالامايلات المحذوفه كما تُمكنه من كسر تشفير اي فولدر او ملف مغلق بكلمه سر .. لكن كل هذا مخصص فقط للمحقق الجنائي الرقمي

هذه الاسطوانه من اهم الاسطوانات التي تلعب دور هام في التحقيق الجنائي الرقمي

1- اولاً يستخدم FTK imager  وهذا يلعب دوراً هاماً حيث ياخذ نسخه من الهارد ديسك والفلاشات من اجل الفحص والحفاظ علي البيانات

2- استخدام password recovery toolkit  ويلعب ايضاً دور هام في كسر حمايه الملفات والفولدرات المحميه بكلمه السر

3-  Registry viewer وهذه الاداه تلعب دور هام ايضاً حيث انهاتمكنك من مشاهده ملفات رجستري اضافه الي ذلك البرنامج يمكنك من الكشف عنالرجستري الخفيه في الجهاز ..

4-  distributed denial attack : هذا البرنامج  يقوم بكسر حمايه الباسوردات لكن باستخدام اكثر من معالج وذلك بهدف تسريع عمليه الكشف عن الباسورد..

من البرامج الحديثه التي يستخدمها هي برنامج Executed Programs List  هذا البرنامج ليس من ضمن حزمه FTK ولكنها مفيده ويمكن لاي شخص تحميلها حيث انها تعرف وقت وتاريخ تشغيل اي برنامج في اي حاسوب حتي اذا تم حذفه بعد الاستعمال . علي سبيل المثال اذا استخدم برنامج النجرات ( هذا البرنامج يستطيع التجسس علي الاجهزه ومراقبه ما يفعله الضحيه ) فبعد ان يعلم انه قد انكشف والشرطه تحاول القبض عليه فبطبيعه الحال سيمسحه فوراً بل ويحاول فرمته الحاسوب بالكامل لكن هذا البرنامج يحاول تحديد جميع البرامج التي استعملت تجد هذا البرنامج هنا