IT-brott. - hur man förebygger och hanterar dem. Krkom Bosse Norgren, RKP IT-brottssektionen. onsdag 7 maj 14

Transkript

1 IT-brott - hur man förebygger och hanterar dem Krkom Bosse Norgren, RKP IT-brottssektionen 1

2 Dagens predikan Bosse Norgren på två minuter Nationell organisation Inledning Proaktivt arbete Husrannsakan i digital miljö Det taktiska perspektivet Har vi rätt verktyg? 2

3 Bosse Norgren ~ 30 år som polis 1992 började jaga datortjuvar och -hälare April 1996 till RKP hitta digitala bevis oavsett brott Februari 2000 till näringslivet Januari 2002 tillbaka till RKP IT-brott Drygt 20 års letande efter digitala bevis Betraktar mig själv som något så när psykiskt frisk 3

4 Nationell organisation Ekobrottsmyndigheten RKP IT-brottssektionen Säkerhetspolisen SKL Externa kontakter -näringsliv -högskolor etc -internationella Tullverket Skatteverket Polismyndigheterna (21 st) Totalt ca 200 specialutbildade: Poliser, åklagare, domare, skattebrottsutredare, tullkrimare m fl Försvarsmakten 4

5 Det ska börjas i tid 43% av 2-åringar har någon gång använt dator 96% av 5-9-åringar använder dator på något sätt Mer än 95% av 9-12-åringar använder Internet mer påtagligt i vardagen (sociala media, mail, chatt) 70% av åringar tillbringar fritiden på Internet 5

6 Självskydd Rubrik 25 jan 2010: Hög chef inom rättsväsendet misstänkt för våldtäkt Klart man vill veta! HAMC, BAMC, Info14, porrsurfning? Vad händer om man går in där på jobbet? 6

7 Attityder Hur ska du få dina anställda att följa lagen? Hur reagerar du själv? Stoppad av trafikpolisen? Aha, så just din brottslighet är irrelevant? Du råkar ut i den mån du begår brott Bortsett från lagen, hur ser attityden ut när det gäller företagspolicies? Det hela påminner om barnuppfostran Barn gör inte som man säger, de gör som man gör 7

8 Proaktivt arbete Innan något inträffar 8

9 Till att börja med Gör ni alltid polisanmälan? Om inte, varför? Två huvudspår för att inte anmäla: 1. Badwillfaktorn Vilda Västern anno Resursfaktorn Polisen har ändå inga resurser... Hur ska vi få det om ingen anmäler? Ni får precis de polisiära resurser ni förtjänar Det är ni som måste ställa kraven! 9

10 Förarbete Kontakta gärna polisen INNAN något hänt Ta reda på vilka dina lokala IT-forensiker är Bygg upp kontaktvägar Få råd om hur du ska bete dig när (inte om) katastrofen är ett faktum Utgå ifrån att det otänkbara inträffar 10

11 Incidenthantering Någon form av incident upptäcks IT-admin > IT-Chef > IT-säkerhetschef > Säkerhetschef > VD > F** och hans moster Osäkert om brott eller inte Osäkert om anmälan eller inte Utgå från scenariot brott och anmälan Handla utifrån detta scenario Frys läget tidigt i kedjan Ökar framgångsfaktorn 11

12 Loggning Grundregel: Allt som kan loggas, ska loggas Anledningen: Omöjligt att avgöra i förväg vad som är intressant i en utredning Ni sparar väl era loggar? 12

13 Inför polisanmälan Don t panic behåll lugnet Mental förberedelse och övningar Dokumentera kontinuerligt: när, var och hur problemet upptäcktes vidtagna åtgärder Dokumentera även: specificerade kostnader vem gjorde vad? exempel där tingsrätten plockat bort en nolla Var medveten om att rättvisans kvarnar mal långsamt Uthållighet hos målsägaren ofta ett problem 13

14 Husrannsakan i digital miljö Fallgropar och tips på hur man undviker dem 14

15 Vår arbetsmiljö På jobbet Mycket teknikintensivt Inget för elallergiker Hemma-hos-reportage IT-forensiska gruppens kontorslandskap IT-forensiska labbet Videolabbet Telefonlabbet 15

16

17

18

19

20 Vår arbetsmiljö På fältet Kan vara mycket teknikintensivt Ofta inget för kvalsterallergiker Stor risk för kontaminerade kroppsvätskor 20

21

22

23

24 Vad är en dator?

25 Att tänka på Stäng aldrig av en dator utan att ha rådgjort med en expert Starta aldrig en dator utan att ha rådgjort med en expert Genomför aldrig bearbetningar eller raca runt i en dator som har eller kan ha betydelse i en brottsutredning 25

26 Elände Kryptering eller låsning av systemet kan ske Systemet skriver på disken vid start/avstängning Tidsstämplar och omfattning av filer förändras Originaldata förändras Skärmsläckare med lösenord kan aktiveras Monterade, krypterade behållare 26

27 Reaktivt arbete När det otänkbara har inträffat 27

28 Eget analysarbete Arbeta ALDRIG i originaldisken Framställ en spegelkopia Arbete i originaldisk innebär ALLTID en risk för att informationen påverkas Trovärdighetsproblem för åklagaren I värsta fall går ärendet inte att utreda NHL 97 Rysk biznizman 28

29 Polisanmälan Huvudprincipen närmaste polisstation OBS! Personalen i receptionen inte alltid IT-nördar Ta hänsyn till detta vid anmälan Undvik att tala i 3- och 4-bokstavsförkortningar Detsamma gäller i ännu högre grad i rätten IT-forensisk verksamhet står på tre ben Teknik Juridik Pedagogik 29

30 Polisanmälan Enkel men ändå komplett beskrivning OBS! Inga företagshemliga uppgifter i anmälan Viss del av anmälan kan bli offentlig Bifoga bilaga vid senare tillfälle Förundersökningssekretess råder Dock blir FU-protokoll offentligt Företagshemligheter kan dock sekretessbeläggas 30

31 Det taktiska perspektivet Framgångsfaktorer online och i realtid 31

32 Trender Krypterade filer, behållare, diskar Krypterad kommunikation Anonymizers TOR Molntjänster IPv6 Jag skulle kunna fortsätta, men vi måste inse faktum brottsligheten sker online och i realtid! Volatilization? 32

33 Vad vi aldrig får glömma När man börjar arbeta som IT-forensiker är det väldigt lätt att fastna i en farlig fälla Ganska snart tänker du enbart på IT Vi får aldrig glömma att vi arbetar för Law Enforcement Vi utreder brott, inte IT-system Vi måste alltid tänka i första hand som brottsutredare i andra hand som IT-forensiker Slutsats: Var en nörd, men kom ihåg färgen på din hatt! 33

34 Vad är det vi möter? Ibland farliga misstänka Ofta en komplex IT-miljö Alltid tidskritiskt Ja, jag generaliserar Bottom line, vi måste: prioritera vår egen säkerhet vara beredda på kryptering (filer, behållare, diskar etc) ha med utrustning för att genomföra Live 4n6 vara förberedda på nätverksanalys ha med utrustning för att genomföra spegling på plats 34

35 Kryptering / Live 4n6 Viktigt att ta den misstänkte med händerna i syltburken Enda sättet att säkra flyktiga data / bevismaterial Ta oss in snabbt Helst med ett visst mått av överraskning På tal om chock: Första frågan du ska ställa till den misstänkte? Korrekt, Har du någon kryptering eller lösenord? Skolexempel: HA Karlstad 28 april

36 Nätverksanalys I Sverige får vi (ännu) inte genomföra husrannsakan på distans Bara på den fysiska plats som beslutet gäller En byggnad på andra sidan gatan, nytt beslut En server i ett annat land begäran om internationell rättshjälp Innan vi utför Live 4n6 måste vi vara säkra på att vi genomför åtgärden på rätt fysisk plats i rätt land Enkel lösning: Deaktivera nätverkskopplingen 36

37 Slutsatser IT Forensics är inte längre ett bekvämt jobb inne i labbet Allt oftare nödvändigt att säkra flyktiga data på plats Mängden flyktiga data kommer öka Mer tid i ohälsosamma miljöer Ökad användning av molntjänster Övergången till IPv6 gör (möjligen) spårning svårare eller omöjlig 37

38 Har vi rätt verktyg? Lagstiftning? Samarbete? 38

39 Dåliga verktyg Nya lagar ger oss problem: Lag (2008:717) om signalspaning i försvarsunderrättelseverksamhet Intellectual Property Rights Enforcement Directive Lagring av trafikuppgifter för brottsbekämpande ändamål Införandet av FRA-lagen och IPRED innebar att flera ISP slutade logga trafiken... eller började obstruera Vi hoppades att Datalagringsdirektivet skulle innebära en återgång till bättre tider, men tyvärr, 6 månader är på tok för kort lagringstid... och nu kanske lagringsdirektivet försvinner över huvud taget? 39

40 Vem ställer kraven? Ibland ser vi rubriker i stil med: POLISEN KRÄVER SKÄRPT LAGSTIFTNING POLISEN KRÄVER ÖKADE RESURSER POLISEN VILL LÄSA DIN E-POST Fel utgångspunkt Vi kräver inte någonting Vi sitter hellre och fikar och äter wienerbröd Fundera i stället på vems argumenten borde vara? 40

41 Vem ställer kraven? Bodströmsamhället, Storebror ser dig, FRA massavlyssnar, Polisen får tillgång till massavlyssningen Integritetslobbyns argument hörs väldigt tydligt När får vi en lobby/folkrörelse som kräver att det blir möjligt för polisen att utreda brott? Rubriker jag skulle småle åt: LEDANDE PIRATPARTIST OFFER PÅ NÄTET POLISEN: OMÖJLIGT ATT UTREDA Slutsats: Vi behöver bättre lagstiftning och samarbete 41

42 Nog med provokationer Frågor? 42