CHFI 2025 Module 01 Điều tra số trong thế giới hiện đại & Kỷ Nguyên AI

Sau khi hoàn thành module này, bạn sẽ có thể:

1. Hiểu các loại điều tra tội phạm mạng khác nhau và các quy tắc chung của điều tra số
2. Định nghĩa điều tra số và hiểu các mục tiêu của nó
3. Hiểu và phân loại các loại tội phạm mạng khác nhau
4. Hiểu các thách thức mà tội phạm mạng đặt ra cho điều tra viên
5. Hiểu Quy tắc về Bằng chứng và nhận biết các loại bằng chứng số khác nhau
6. Xem xét vai trò của điều tra số và sự sẵn sàng điều tra trong kế hoạch ứng phó sự cố
7. Hiểu nhu cầu về điều tra viên số và xác định vai trò và trách nhiệm của họ
8. Xem xét các vấn đề pháp lý, quyền riêng tư và quy tắc đạo đức trong điều tra số

Điều tra số đóng vai trò quan trọng trong việc điều tra và truy tố tội phạm mạng. Quá trình này bao gồm thu thập, kiểm tra và báo cáo thông tin được lưu trữ trên máy tính và mạng liên quan đến một sự cố dân sự hoặc hình sự. Các điều tra viên số là những chuyên gia được đào tạo có thể trích xuất, phân tích, báo cáo và điều tra các vụ án liên quan đến công nghệ như nguồn hoặc nạn nhân của tội phạm. Module này giới thiệu về điều tra số trong thế giới hiện đại. Nó thảo luận về một số vấn đề và mối quan tâm quan trọng nhất mà các điều tra viên số phải đối mặt ngày nay. Mục tiêu chính của module này là làm quen bạn với các chủ đề đã đề cập ở trên.

Hiểu về Điều tra số

Điều tra số đề cập đến một tập hợp các thủ tục và kỹ thuật có phương pháp giúp xác định, thu thập, bảo quản, trích xuất, diễn giải, ghi chép và trình bày bằng chứng từ thiết bị máy tính, theo đó bất kỳ bằng chứng nào được phát hiện đều có thể chấp nhận được trong quá trình tố tụng pháp lý và/hoặc hành chính.

Mục tiêu:

• Theo dõi và truy tố thủ phạm của một tội phạm mạng
• Thu thập bằng chứng về tội phạm mạng một cách hợp pháp
• Ước tính tác động tiềm tàng của hoạt động độc hại đối với nạn nhân và đánh giá ý định của thủ phạm
• Giảm thiểu tổn thất hữu hình và vô hình cho tổ chức
• Bảo vệ tổ chức khỏi các sự cố tương tự trong tương lai

Điều tra số là một bộ phận điều tra số liên quan đến các tội phạm được thực hiện trên các thiết bị máy tính như mạng, máy tính và phương tiện lưu trữ kỹ thuật số. Nó đề cập đến một tập hợp các thủ tục và kỹ thuật có phương pháp để xác định, thu thập, bảo quản, trích xuất, diễn giải, ghi chép và trình bày bằng chứng từ thiết bị máy tính theo cách mà bằng chứng được phát hiện có thể chấp nhận được trong quá trình tố tụng pháp lý và/hoặc hành chính tại tòa án.

Nói tóm lại, điều tra số liên quan đến quá trình tìm kiếm bằng chứng liên quan đến một tội phạm kỹ thuật số để tìm ra thủ phạm và khởi tố họ theo pháp luật.

Mục tiêu:

• Xác định, thu thập và bảo quản bằng chứng của tội phạm mạng.
• Theo dõi và truy tố thủ phạm tại tòa án.
• Diễn giải, ghi chép và trình bày bằng chứng để có thể chấp nhận được trong quá trình truy tố.
• Ước tính tác động tiềm tàng của hoạt động độc hại đối với nạn nhân và đánh giá ý định của thủ phạm.
• Tìm ra các lỗ hổng và kẽ hở bảo mật giúp kẻ tấn công.
• Hiểu các kỹ thuật và phương pháp được kẻ tấn công sử dụng để tránh bị truy tố và vượt qua chúng.
• Khôi phục các tệp đã xóa, tệp ẩn và dữ liệu tạm thời có thể được sử dụng làm bằng chứng.
• Thực hiện phản ứng với sự cố để ngăn chặn thêm tổn thất về tài sản trí tuệ, tài chính và danh tiếng trong một cuộc tấn công.
• Có kiến thức về luật pháp của các khu vực và địa phương khác nhau, vì tội phạm kỹ thuật số có mặt khắp nơi và từ xa.
• Biết quy trình xử lý nhiều nền tảng, loại dữ liệu và hệ điều hành.
• Hiểu việc sử dụng các công cụ phù hợp cho điều tra số.

Tại sao và khi nào bạn sử dụng Điều tra số?

Đã có sự gia tăng theo cấp số nhân về số lượng tội phạm mạng và các vụ kiện liên quan đến các tổ chức lớn. Điều này đã làm nổi bật nhu cầu về điều tra số. Các tổ chức cần sử dụng dịch vụ của một cơ quan điều tra số hoặc thuê một chuyên gia điều tra số để bảo vệ chống lại các sự cố máy tính hoặc giải quyết tội phạm liên quan đến việc sử dụng máy tính và các công nghệ liên quan. Những tổn thất tài chính đáng kinh ngạc do tội phạm máy tính gây ra cũng đã góp phần làm tăng sự quan tâm đến điều tra số.

Tại sao bạn sử dụng Điều tra số?

Điều cần thiết là sử dụng điều tra số để:

• Chuẩn bị trước cho các sự cố để đảm bảo tính toàn vẹn và liên tục của cơ sở hạ tầng mạng.
• Xác định và thu thập bằng chứng về tội phạm máy tính một cách hợp pháp.
• Cung cấp sự bảo vệ đầy đủ cho các nguồn dữ liệu và đảm bảo tuân thủ quy định.
• Bảo vệ tổ chức khỏi các sự cố tương tự trong tương lai.
• Giúp chống lại các tội phạm trực tuyến như lạm dụng, bắt nạt và làm tổn hại danh tiếng.
• Giảm thiểu tổn thất hữu hình và vô hình cho tổ chức hoặc cá nhân.
• Hỗ trợ truy tố thủ phạm của một sự cố.

Khi nào bạn sử dụng Điều tra số?

Điều tra số có thể hữu ích đối với tất cả các loại sự cố an ninh và hình sự liên quan đến hệ thống máy tính và các công nghệ liên quan. Như đã quan sát thấy bởi các cuộc khảo sát ngành khác nhau, hầu hết các tổ chức tìm kiếm sự giúp đỡ của điều tra số để:

• Chuẩn bị cho các sự cố bằng cách bảo mật và củng cố cơ chế phòng thủ cũng như lấp đầy các lỗ hổng trong bảo mật
• Có kiến thức về các quy định và tuân thủ chúng.
• Báo cáo sự cố vi phạm hợp đồng.
• Xác định các hành động cần thiết như phản ứng với sự cố.
• Hành động chống lại việc vi phạm bản quyền và trộm cắp/lạm dụng tài sản trí tuệ.
• Giải quyết tranh chấp giữa nhân viên hoặc giữa chủ sử dụng lao động và nhân viên.
• Ước tính và giảm thiểu thiệt hại cho tài nguyên.
• Thiết lập tham số bảo mật và tạo các tiêu chuẩn bảo mật cho sự sẵn sàng điều tra.

Các loại tội phạm mạng

Tội phạm mạng được định nghĩa là bất kỳ hành vi bất hợp pháp nào liên quan đến một thiết bị máy tính, mạng, hệ thống hoặc ứng dụng của nó.

Tội phạm mạng có thể được phân loại thành hai loại dựa trên đường tấn công.

Tấn công nội bộ:

• Vi phạm lòng tin bởi nhân viên bất mãn hoặc không hài lòng trong tổ chức
• Những kẻ tấn công được thuê bởi các thực thể nội bộ hoặc bên ngoài để phá hoại danh tiếng của tổ chức
  Ví dụ:
• Gián điệp
• Trộm cắp tài sản trí tuệ
• Thao túng hồ sơ
• Tấn công Trojan

Tấn công bên ngoài:
Ví dụ:

• Tấn công SQL
• Tấn công brute force
• Đánh cắp danh tính
• Lừa đảo/giả mạo
• Tấn công từ chối dịch vụ
• Phỉ báng trên mạng

Tội phạm mạng đề cập đến “bất kỳ hành vi bất hợp pháp nào liên quan đến máy tính, hệ thống hoặc ứng dụng của nó.” Khi các điều tra viên bắt đầu điều tra hiện trường tội phạm, họ phải nhớ rằng trong điều tra số, tội phạm mạng thường là cố ý chứ không phải vô tình. Loại tội phạm mạng phụ thuộc vào các công cụ của tội phạm và mục tiêu của nó.

Các công cụ của tội phạm đề cập đến các công cụ hack khác nhau được sử dụng để thực hiện tội phạm. Chúng bao gồm máy tính hoặc trạm làm việc được sử dụng cho tội phạm bao gồm phần cứng như bàn phím, chuột và màn hình. Các điều tra viên số thường lấy tất cả các công cụ như vậy vào quyền giám sát để sử dụng chúng làm bằng chứng.

Mục tiêu của tội phạm đề cập đến nạn nhân, có thể là các tổ chức doanh nghiệp, trang web, cơ quan tư vấn và cơ quan chính phủ. Mục tiêu cũng có thể bao gồm môi trường ảo có thể hoạt động như bằng chứng số do một sự cố. Một hệ thống trở thành mục tiêu vì những lý do như đánh cắp, sửa đổi hoặc phá hủy dữ liệu; tấn công Trojan; truy cập trái phép; tấn công Từ chối dịch vụ (DoS); hoặc tấn công Man in the Middle (MITM).

Dựa trên đường tấn công, tội phạm mạng có thể được phân loại thành tấn công nội bộ và tấn công bên ngoài.

Tấn công nội bộ:
Tấn công nội gián, được coi là mối đe dọa chính, đề cập đến các cuộc tấn công bởi các cá nhân bất mãn làm việc trong cùng công ty hoặc cùng hộ gia đình với nạn nhân. Những kẻ tấn công có quyền truy cập hợp pháp vào hệ thống và có mục tiêu và mục đích cụ thể. Loại tấn công này có thể cực kỳ khó phát hiện hoặc bảo vệ vì những kẻ tấn công biết về các lỗ hổng, điểm yếu và cài đặt bảo mật của công ty.

Một cuộc tấn công nội bộ có thể ảnh hưởng đến tất cả các thành phần của bảo mật máy tính, tác động đến tính khả dụng bằng cách quá tải khả năng xử lý hoặc lưu trữ của hệ thống, hoặc gây ra sự cố hệ thống cũng như khiến công ty thiệt hại hàng triệu đô la.

Ví dụ về tấn công nội bộ bao gồm gián điệp, trộm cắp tài sản trí tuệ, thao túng hồ sơ và tấn công Trojan.

Tấn công bên ngoài: Tấn công bên ngoài bắt nguồn từ bên ngoài tổ chức hoặc có thể từ xa. Những cuộc tấn công như vậy xảy ra khi có các chính sách và thủ tục bảo mật thông tin không đầy đủ.

Theo các báo cáo bảo mật khác nhau, trung bình, một công ty trở thành mục tiêu của các xâm nhập cứ mỗi 15 phút từ một nguồn bên ngoài. Do có nhiều nỗ lực như vậy, rất khó để theo dõi và truy tố nghi phạm của một cuộc tấn công bên ngoài. Nghi phạm có thể đang hoạt động từ một máy tính ở khắp nơi trên thế giới.

Những kẻ tấn công sử dụng hệ thống như một công cụ để bẻ khóa mật khẩu; leo thang đặc quyền; phóng Trojan, sâu và botnet; và tham gia vào việc đánh cắp và lừa đảo qua email.

Ví dụ về tấn công bên ngoài bao gồm tấn công SQL, bẻ khóa brute force, đánh cắp danh tính, lừa đảo/giả mạo, tấn công từ chối dịch vụ và phỉ báng trên mạng.

Nghiên cứu tình huống 1: Tấn công nội bộ – Gián điệp công nghiệp & Mất bí mật thương mại

Vụ việc: Giám đốc An ninh Thông tin (CISO) của một công ty nghiên cứu được thông báo về hoạt động bất thường của một trong những nhân viên của công ty. Một nhà nghiên cứu được quan sát thấy đang chạy một phần mềm mà sau đó họ xác định là một công cụ hacker được biết đến từ máy tính xách tay của anh ta. Tất cả những gì nhân viên nhìn thấy là một màn hình đen với các dòng văn bản trắng cuộn theo kiểu nhanh chóng. Vì tất cả các máy tính sử dụng hệ điều hành Windows và bị khóa, một màn hình đen với văn bản trắng cuộn xuống có vẻ kỳ lạ đối với người báo cáo. Anh ta quyết định báo cáo. CISO của công ty đã liên hệ với nhóm điều tra số để điều tra.

Cuộc điều tra: Nhóm điều tra số đã thực hiện việc tạo ảnh và kiểm tra pháp lý bí mật đối với máy tính xách tay và máy tính để bàn của nghi phạm. Cuộc kiểm tra đã tiết lộ một số sự thật thú vị. Nghi phạm đã bẻ khóa mật khẩu quản trị viên “cục bộ” trên cả hai máy tính của anh ta và cài đặt một keylogger trên mỗi máy để biết nếu ai đó trở nên nghi ngờ và truy cập vào máy tính của anh ta khi anh ta vắng mặt. Anh ta dự định bắt bất kỳ ai cố gắng đặt bất kỳ loại phần mềm giám sát nào trên một trong hai máy tính của mình. Vì mục đích này, anh ta đã triển khai một cơ chế phát hiện mạnh mẽ để cảnh báo nếu anh ta đang bị điều tra. Trong máy tính xách tay của mình, nghi phạm đã cài đặt các công cụ hacker khác nhau (bộ đánh hơi mạng, bẻ khóa mật khẩu, quét lỗ hổng mạng, v.v.) ngoài phần mềm xóa dữ liệu. Ban đầu, máy tính xách tay không tiết lộ bằng chứng về hành vi sai trái do sự hiện diện của một phần mềm xóa dữ liệu, mà anh ta sử dụng định kỳ để làm sạch ổ cứng của mình. Sau đó, khi nhóm điều tra số thu thập lưu lượng mạng và phân tích nhật ký, sự thật cuối cùng đã được tiết lộ: anh ta đã thành công trong việc xâm phạm toàn bộ mạng và bẻ khóa tất cả các mật khẩu của các nhà nghiên cứu khác. Anh ta sẽ định kỳ đăng nhập vào máy chủ, truy cập dữ liệu của các nhà nghiên cứu khác và tải xuống máy tính xách tay của mình để mang về nhà. Sau đó, anh ta sẽ xóa dữ liệu khỏi máy tính xách tay của mình và chạy phần mềm xóa dữ liệu để loại bỏ bất kỳ bằng chứng nào cho thấy dữ liệu của các nhà khoa học khác từng có mặt trên ổ cứng của anh ta.

Kết quả: Công ty mục tiêu giữ kín thông tin.

Nghiên cứu tình huống 2: Tấn công bên ngoài – Trường hợp Ngân hàng ABC

Vụ việc: Ngân hàng ABC (ABC) đã phát hiện ra các giao dịch chuyển tiền trái phép từ môi trường của họ. Họ cần biết khi nào và như thế nào nó đã xảy ra một cách nhanh chóng, để giảm thiểu các cuộc tấn công trong tương lai và thông báo cho khách hàng bị ảnh hưởng. ABC đã thuê Nhóm Nghiên cứu Kỹ thuật An ninh Solutionary (SERT) để cung cấp dịch vụ ứng phó sự cố quan trọng theo yêu cầu.

Cuộc điều tra: SERT đã xác định và cung cấp danh sách các chỉ số xâm phạm cho ABC và hỗ trợ điều tra cơ sở hạ tầng mạng của họ để xác định thêm các công cụ quản trị từ xa trái phép hoặc các công cụ tấn công khác. Vì kẻ tấn công đã sử dụng đám mây để che giấu cuộc tấn công, SERT đã viết các công cụ đặc biệt để phân tích lệnh và kiểm soát đa máy chủ mà kẻ tấn công đã sử dụng. Sử dụng kỹ thuật đảo ngược mã độc được xác định trong cuộc tấn công, các chuyên gia SERT đã ghép lại các phương pháp chính xác mà kẻ tấn công đã sử dụng để có được bước đầu tiên vào mạng được bảo vệ của ABC. Phân tích không chỉ tiết lộ các phát hiện từ sự cố hiện tại mà còn các khía cạnh của các khuyến nghị về bảo mật và quy trình mà ABC nên xem xét để ngăn chặn và phát hiện các cuộc tấn công trong tương lai. Trong trường hợp này, SERT cũng phát hiện ra một cuộc tấn công SQL injection trong một ứng dụng đám mây được sử dụng bởi Ngân hàng ABC cho phép các biện pháp kiểm soát bị bỏ qua.

Kết quả: ABC có thể nhanh chóng thông báo chỉ cho những khách hàng bị ảnh hưởng bởi các cuộc tấn công, tránh được nhu cầu công bố rộng rãi về sự cố. Làm như vậy đã giảm tổng chi phí của sự cố và giúp bảo vệ danh tiếng của ABC với những khách hàng không bị ảnh hưởng. Nó cũng giúp ngăn chặn các giao dịch chuyển tiền gian lận bổ sung xảy ra.

Thách thức mà tội phạm mạng đặt ra cho điều tra viên

Tội phạm máy tính đặt ra những thách thức mới cho điều tra viên do các đặc điểm vốn có sau đây:

• Tốc độ: Công nghệ tiên tiến và tốc độ truy cập dữ liệu ngày càng tăng đã thúc đẩy sự nhanh nhẹn của tội phạm mạng. Ngược lại, các điều tra viên yêu cầu ủy quyền và lệnh trước khi bắt đầu bất kỳ thủ tục pháp lý nào. Điều này đã dẫn đến số lượng tội phạm mạng ngày càng tăng, nhiều hơn những gì các cơ quan điều tra có thể xử lý.
• Tính ẩn danh: Tội phạm mạng có thể dễ dàng che giấu danh tính của họ bằng cách giả mạo làm một thực thể khác hoặc bằng cách ẩn địa chỉ IP của họ bằng proxy. Tội phạm kỹ thuật số cũng bao gồm các trường hợp kẻ tấn công trước tiên đánh cắp danh tính từ một người và sau đó sử dụng nó để thực hiện tội phạm.
• Tính chất dễ bay hơi của bằng chứng: Hầu hết các bằng chứng kỹ thuật số có thể dễ dàng bị mất vì nó ở dạng dữ liệu dễ bay hơi như nhật ký, hồ sơ, xung ánh sáng và tín hiệu vô tuyến. Dữ liệu dễ bay hơi cần các công cụ đặc biệt để xác định, thu thập, xử lý, diễn giải và trình bày dữ liệu. Thiếu các công cụ như vậy đã trở thành một thách thức cho các điều tra viên.
• Nguồn gốc toàn cầu và sự khác biệt về luật pháp: Thủ phạm có thể bắt đầu một tội phạm từ bất kỳ nơi nào trên thế giới, trong khi các cơ quan chức năng chỉ có quyền tài phán đối với các tội phạm trong nước. Rất ít luật về tội phạm mạng hiện có trao quyền cho các cơ quan của một khu vực tài phán để xét xử thủ phạm có mặt ở một khu vực tài phán xa khác. Thiếu các luật như vậy đang giúp những kẻ tấn công tránh bị truy tố ngay cả khi các cơ quan chức năng có bằng chứng mạnh mẽ chống lại chúng.
• Hiểu biết pháp lý hạn chế: Nhiều nạn nhân không biết về luật bị vi phạm trong sự cố và không thể bảo vệ yêu cầu của họ. Ngoài ra, kiến thức công nghệ hạn chế của một số công tố viên cũng gây ra việc bác bỏ phiên tòa.

Các thách thức khác bao gồm việc các công ty tư nhân không báo cáo tội phạm mạng, thiếu kiến thức và kỹ năng để xử lý các cuộc tấn công nâng cao, đặt tầm quan trọng quá mức cho các trường hợp tổn thất lớn, không liên kết được các cuộc tấn công khác nhau, và thiếu sự phối hợp giữa các cơ quan chống tội phạm mạng và chính quyền địa phương.

Điều tra tội phạm mạng

Việc điều tra bất kỳ tội phạm nào đều liên quan đến việc thu thập các manh mối và bằng chứng pháp y một cách tỉ mỉ với sự chú ý đến chi tiết.

Không thể tránh khỏi việc sẽ có ít nhất một thiết bị điện tử được tìm thấy trong quá trình điều tra, cho dù đó là máy tính, điện thoại di động, máy in hay máy fax.

Thiết bị điện tử được tìm thấy có thể là trọng tâm của cuộc điều tra vì nó có thể chứa bằng chứng có giá trị để giải quyết vụ án.

Do đó, thông tin có trong thiết bị phải được điều tra đúng cách để có thể được tin cậy trong tòa án.

Các loại trường hợp điều tra tội phạm mạng:

1. Dân sự
2. Hình sự
3. Hành chính

Các quy trình như thu thập dữ liệu, phân tích và trình bày khác nhau dựa trên loại trường hợp.

Ví dụ minh họa: Trường hợp điều tra hình sự

Tình huống: Một ngân hàng lớn phát hiện ra hàng triệu đô la đã bị chuyển trái phép từ tài khoản của khách hàng VIP. Ban đầu, họ nghi ngờ đó là một công việc nội bộ.

Quá trình điều tra:

1. Thu thập dữ liệu: Các điều tra viên số thu thập nhật ký hệ thống, dữ liệu giao dịch và hình ảnh camera an ninh.
2. Bảo quản bằng chứng: Tất cả dữ liệu thu thập được sao chép và lưu trữ an toàn, với chuỗi hành trình được ghi lại cẩn thận.
3. Phân tích:
   • Phân tích nhật ký hệ thống tiết lộ các đăng nhập bất thường vào tài khoản quản trị từ một địa chỉ IP bên ngoài.
   • Kiểm tra mã nguồn phát hiện một backdoor tinh vi được cài đặt trong hệ thống ngân hàng.
   • Phân tích mạng cho thấy dữ liệu bị rò rỉ đến một máy chủ ở nước ngoài.
4. Điều tra hiện trường: Kiểm tra các máy tính của nhân viên không tìm thấy bằng chứng về sự tham gia nội bộ.
5. Truy tìm nguồn gốc: Địa chỉ IP được truy nguyên đến một quán cà phê internet ở nước ngoài. Camera an ninh của quán cà phê cung cấp hình ảnh của nghi phạm.

Kết quả:

• Xác định được kẻ tấn công là một hacker chuyên nghiệp nước ngoài, không phải nhân viên nội bộ.
• Phát hiện và vá lỗ hổng bảo mật trong hệ thống ngân hàng.
• Thu hồi được phần lớn số tiền bị đánh cắp.
• Cải thiện quy trình bảo mật của ngân hàng.

Ví dụ này minh họa cách các kỹ thuật điều tra số khác nhau được sử dụng để giải quyết một vụ án phức tạp, từ thu thập dữ liệu ban đầu đến phân tích pháp y chi tiết và cuối cùng là xác định thủ phạm.

Tình huống thực tế: Điều tra dân sự về vi phạm sở hữu trí tuệ

Bối cảnh: Một công ty phần mềm phát hiện ra rằng mã nguồn độc quyền của họ đã xuất hiện trong sản phẩm của một đối thủ cạnh tranh. Họ nghi ngờ một nhân viên cũ đã lấy cắp mã trước khi rời đi.

Quá trình điều tra:

1. Thu thập bằng chứng:
   • Kiểm tra máy tính công ty mà nhân viên cũ sử dụng.
   • Thu thập nhật ký email và truy cập mạng.
   • Xem xét các thỏa thuận bảo mật và không cạnh tranh đã ký.
2. Phân tích pháp y:
   • Khôi phục các tệp đã xóa từ máy tính công ty.
   • Phân tích lịch sử email để tìm kiếm các trao đổi đáng ngờ.
   • Kiểm tra các thiết bị lưu trữ di động đã được kết nối.
3. So sánh mã:
   • Thực hiện phân tích chi tiết để xác định sự tương đồng giữa mã nguồn bị đánh cắp và sản phẩm của đối thủ.
4. Phỏng vấn:
   • Thẩm vấn nhân viên cũ và các đồng nghiệp.
   • Liên hệ với công ty đối thủ để yêu cầu thông tin.

Kết quả:

• Tìm thấy bằng chứng cho thấy nhân viên cũ đã sao chép mã nguồn vào một ổ USB trước khi rời đi.
• Phát hiện email trao đổi giữa nhân viên cũ và công ty đối thủ.
• Xác định các phần của mã nguồn bị đánh cắp trong sản phẩm của đối thủ.

Hành động pháp lý:

• Công ty phần mềm nộp đơn kiện dân sự chống lại nhân viên cũ và công ty đối thủ.
• Bằng chứng số được sử dụng để hỗ trợ yêu cầu bồi thường thiệt hại và lệnh cấm.
• Vụ việc được giải quyết ngoài tòa án với một thỏa thuận tài chính đáng kể và yêu cầu công ty đối thủ ngừng sử dụng mã bị đánh cắp.

Tình huống này minh họa cách điều tra số được sử dụng trong các vụ kiện dân sự, đặc biệt là trong các trường hợp liên quan đến sở hữu trí tuệ. Nó cũng cho thấy tầm quan trọng của việc thu thập và phân tích cẩn thận bằng chứng số để hỗ trợ các yêu cầu pháp lý.

Bằng chứng số

Bằng chứng số được định nghĩa là “bất kỳ thông tin nào có giá trị chứng minh được lưu trữ hoặc truyền tải dưới dạng kỹ thuật số”

Theo Nguyên tắc Trao đổi Locard, “bất kỳ ai hoặc bất cứ thứ gì, khi vào hiện trường tội phạm đều mang theo một cái gì đó của hiện trường, và để lại một cái gì đó của chính họ khi rời đi”

Bằng chứng số có tính chất tình huống và dễ vỡ, điều này khiến việc truy tìm hoạt động tội phạm trở nên khó khăn đối với điều tra viên pháp y

Thông tin kỹ thuật số có thể được thu thập trong khi kiểm tra phương tiện lưu trữ kỹ thuật số, giám sát lưu lượng mạng, hoặc tạo bản sao của dữ liệu kỹ thuật số được tìm thấy trong quá trình điều tra pháp y

Ví dụ minh họa: Truy tìm kẻ tấn công mạng

Tình huống: Một công ty bán lẻ lớn phát hiện ra rằng thông tin thẻ tín dụng của khách hàng đã bị đánh cắp từ hệ thống của họ.

Quá trình thu thập bằng chứng số:

1. Nhật ký hệ thống:
   • Thu thập nhật ký từ máy chủ web, cơ sở dữ liệu và tường lửa.
   • Phân tích để tìm các mẫu truy cập bất thường hoặc các lệnh SQL đáng ngờ.
2. Lưu lượng mạng:
   • Xem xét các bản ghi lưu lượng mạng để xác định các kết nối đáng ngờ.
   • Tìm kiếm các dấu hiệu của việc truyền dữ liệu lớn đến các địa chỉ IP không xác định.
3. Phân tích mã độc:
   • Quét hệ thống để tìm phần mềm độc hại.
   • Phân tích mã của bất kỳ mã độc nào được tìm thấy để xác định chức năng và nguồn gốc của nó.
4. Dữ liệu xóa:
   • Sử dụng công cụ khôi phục dữ liệu để tìm các tệp đã xóa có thể chứa bằng chứng.
5. Metadata:
   • Kiểm tra metadata của các tệp để xác định thời gian tạo, sửa đổi và truy cập.

Kết quả:

• Phát hiện một backdoor được cài đặt thông qua một lỗ hổng SQL injection.
• Xác định địa chỉ IP của kẻ tấn công và thời gian của cuộc tấn công.
• Khôi phục được một script đã xóa được sử dụng để trích xuất dữ liệu thẻ tín dụng.

Tình huống thực tế: Điều tra gian lận nội bộ

Bối cảnh: Một ngân hàng phát hiện ra các giao dịch đáng ngờ trong một số tài khoản khách hàng. Họ nghi ngờ có sự tham gia của nhân viên nội bộ.

Quá trình điều tra:

1. Phân tích nhật ký truy cập:
   • Xem xét nhật ký đăng nhập của nhân viên vào hệ thống ngân hàng.
   • Tìm kiếm các mẫu bất thường như đăng nhập ngoài giờ làm việc hoặc từ các vị trí không xác định.
2. Kiểm tra giao dịch:
   • Phân tích chi tiết các giao dịch đáng ngờ.
   • Tìm kiếm các mẫu hoặc điểm tương đồng giữa các giao dịch.
3. Kiểm tra email:
   • Xem xét email của nhân viên nghi ngờ.
   • Tìm kiếm bất kỳ trao đổi nào với các bên bên ngoài có liên quan đến tài khoản bị ảnh hưởng.
4. Phân tích máy tính:
   • Tạo bản sao pháp y của máy tính của nhân viên nghi ngờ.
   • Tìm kiếm các tệp hoặc chương trình đáng ngờ.
5. Camera an ninh:
   • Xem lại video từ camera an ninh để xác minh vị trí của nhân viên trong thời gian xảy ra các giao dịch đáng ngờ.

Kết quả:

• Phát hiện một nhân viên đã truy cập vào nhiều tài khoản khách hàng ngoài phạm vi công việc của họ.
• Tìm thấy email trao đổi giữa nhân viên này và một bên thứ ba bên ngoài ngân hàng.
• Khôi phục được một chương trình đã xóa trên máy tính của nhân viên, được sử dụng để tự động thực hiện các giao dịch nhỏ từ nhiều tài khoản.

Hành động:

• Nhân viên bị đình chỉ và sau đó bị sa thải.
• Bằng chứng được chuyển cho cơ quan thực thi pháp luật để tiến hành điều tra hình sự.
• Ngân hàng tăng cường các biện pháp kiểm soát nội bộ và giám sát để ngăn chặn các sự cố tương tự trong tương lai.

Những ví dụ này minh họa cách bằng chứng số có thể được thu thập và phân tích trong các tình huống khác nhau, từ tấn công mạng bên ngoài đến gian lận nội bộ. Chúng cũng cho thấy tầm quan trọng của việc sử dụng nhiều nguồn bằng chứng khác nhau và áp dụng các kỹ thuật phân tích khác nhau để xây dựng một bức tranh toàn diện về sự cố.

Đặc điểm của Bằng chứng số

Bằng chứng số phải có một số đặc điểm để được chấp nhận trong tòa án:

1. Có thể chấp nhận: Bằng chứng phải liên quan đến sự thật đang được chứng minh.
2. Xác thực: Bằng chứng phải thực sự và liên quan đến sự cố một cách thích hợp.
3. Đầy đủ: Bằng chứng phải chứng minh hành động của kẻ tấn công hoặc sự vô tội của họ.
4. Đáng tin cậy: Không được có nghi ngờ về tính xác thực hoặc tính trung thực của bằng chứng.
5. Đáng tin: Bằng chứng phải rõ ràng và dễ hiểu đối với các thẩm phán.

Ví dụ minh họa: Đảm bảo tính xác thực của bằng chứng số

Tình huống: Trong một vụ án lừa đảo trực tuyến, điều tra viên thu thập được email từ máy tính của nghi phạm.

Quy trình đảm bảo tính xác thực:

1. Thu thập:
   • Tạo bản sao bit-by-bit của ổ cứng bằng công cụ pháp y được chứng nhận.
   • Sử dụng phương pháp write-blocker để ngăn chặn bất kỳ thay đổi nào đối với dữ liệu gốc.
2. Bảo quản:
   • Tính toán và ghi lại giá trị hash của bản sao pháp y.
   • Lưu trữ bản sao trong một thiết bị an toàn, chống giả mạo.
3. Phân tích:
   • Sử dụng phần mềm pháp y được công nhận để trích xuất và phân tích email.
   • Ghi lại mọi bước trong quá trình phân tích.
4. Tài liệu hóa:
   • Tạo báo cáo chi tiết về quá trình thu thập và phân tích.
   • Bao gồm thông tin về các công cụ và phương pháp được sử dụng.
5. Chuỗi hành trình:
   • Duy trì một bản ghi chi tiết về tất cả những người đã tiếp xúc với bằng chứng.
   • Ghi lại thời gian và mục đích của mỗi lần truy cập bằng chứng.

Bằng cách tuân theo các bước này, điều tra viên có thể đảm bảo rằng bằng chứng email sẽ được coi là xác thực và đáng tin cậy trong tòa án.

Vai trò của Bằng chứng số

Ví dụ về các trường hợp mà bằng chứng số có thể hỗ trợ điều tra viên pháp y trong việc truy tố hoặc bào chữa cho nghi phạm:

1. Sử dụng/lạm dụng Internet
2. Lạm dụng hệ thống
3. Giao tiếp qua email giữa các nghi phạm/kẻ đồng mưu
4. Đánh cắp danh tính
5. Rò rỉ thông tin
6. Đánh cắp bí mật thương mại
7. Truyền thông tin trái phép
8. Tấn công độc hại vào chính hệ thống máy tính
9. Sản xuất tài liệu và tài khoản giả mạo
10. Mã hóa/bảo vệ bằng mật khẩu trái phép đối với tài liệu

Ví dụ thực tế: Sử dụng bằng chứng số trong một vụ án đánh cắp danh tính

Tình huống: Một cá nhân bị buộc tội đánh cắp danh tính và thực hiện giao dịch gian lận bằng thông tin bị đánh cắp.

Bằng chứng số được sử dụng:

1. Lịch sử trình duyệt:
   • Cho thấy các lần truy cập vào các trang web phishing và diễn đàn hacker.
   • Chứng minh ý định và kế hoạch của nghi phạm.
2. Nhật ký email:
   • Tiết lộ email chứa thông tin cá nhân bị đánh cắp.
   • Chỉ ra việc trao đổi thông tin với các bên liên quan khác.
3. Tệp đã tải xuống:
   • Phần mềm độc hại được sử dụng để đánh cắp thông tin.
   • Danh sách các nạn nhân tiềm năng.
4. Lịch sử giao dịch:
   • Bản ghi của các giao dịch gian lận được thực hiện bằng thông tin bị đánh cắp.
   • Liên kết hoạt động gian lận với nghi phạm.
5. Nhật ký đăng nhập:
   • Hiển thị các lần đăng nhập vào tài khoản của nạn nhân từ địa chỉ IP của nghi phạm.
6. Dữ liệu GPS từ điện thoại thông minh:
   • Đặt nghi phạm tại các địa điểm nơi thẻ tín dụng giả được sử dụng.
7. Hình ảnh kỹ thuật số:
   • Ảnh của các thẻ tín dụng và ID giả được tìm thấy trên thiết bị của nghi phạm.

Kết quả:

• Bằng chứng số cung cấp một chuỗi sự kiện rõ ràng liên kết nghi phạm với tội phạm.
• Cho thấy sự chuẩn bị, thực hiện và che giấu hành vi phạm tội.
• Hỗ trợ truy tố thành công nghi phạm về tội đánh cắp danh tính và gian lận.

Ví dụ này minh họa cách nhiều loại bằng chứng số khác nhau có thể được kết hợp để xây dựng một trường hợp mạnh mẽ trong một cuộc điều tra phức tạp.

Nguồn của Bằng chứng Tiềm năng

Bằng chứng số có thể được tìm thấy từ nhiều nguồn khác nhau. Chúng có thể được phân loại thành ba nhóm chính:

1. Tệp do người dùng tạo:
   • Sổ địa chỉ
   • Tệp cơ sở dữ liệu
   • Tệp phương tiện (hình ảnh, đồ họa, âm thanh, video, v.v.)
   • Tệp tài liệu (văn bản, bảng tính, trình bày, v.v.)
   • Dấu trang internet, mục yêu thích, v.v.
2. Tệp do người dùng bảo vệ:
   • Tệp nén
   • Tệp đổi tên
   • Tệp mã hóa
   • Tệp được bảo vệ bằng mật khẩu
   • Tệp ẩn
   • Steganography (kỹ thuật giấu tin)
3. Tệp do máy tính tạo:
   • Tệp sao lưu
   • Tệp nhật ký
   • Tệp cấu hình
   • Tệp spool máy in
   • Cookies
   • Tệp swap
   • Tệp hệ thống
   • Tệp lịch sử
   • Tệp tạm thời

Ví dụ minh họa: Điều tra một vụ rò rỉ dữ liệu công ty

Tình huống: Một công ty công nghệ phát hiện ra rằng một số tài liệu mật đã bị rò rỉ ra ngoài. Họ nghi ngờ một nhân viên đã đánh cắp thông tin.

Quá trình điều tra và nguồn bằng chứng:

1. Tệp do người dùng tạo:
   • Kiểm tra email của nhân viên để tìm các trao đổi đáng ngờ.
   • Xem xét các tệp tài liệu gần đây được tạo hoặc sửa đổi.
   • Kiểm tra lịch sử duyệt web để tìm các truy cập vào dịch vụ lưu trữ đám mây bên ngoài.
2. Tệp do người dùng bảo vệ:
   • Tìm kiếm các tệp nén hoặc mã hóa có thể chứa dữ liệu bị đánh cắp.
   • Kiểm tra các tệp ẩn trên máy tính của nhân viên.
   • Phân tích các hình ảnh để tìm dữ liệu được giấu bằng kỹ thuật steganography.
3. Tệp do máy tính tạo:
   • Xem xét nhật ký hệ thống để tìm các hoạt động bất thường.
   • Kiểm tra tệp swap và tệp tạm thời để tìm dấu vết của dữ liệu đã bị xóa.
   • Phân tích cookies để xác định các trang web đã truy cập.
   • Xem xét tệp spool máy in để tìm bằng chứng về tài liệu đã in.

Kết quả:

• Phát hiện email bị xóa thảo luận về việc bán thông tin công ty.
• Tìm thấy tệp nén chứa tài liệu mật trong một thư mục ẩn.
• Nhật ký hệ thống cho thấy việc sử dụng USB vào giờ bất thường.
• Cookie tiết lộ truy cập vào một diễn đàn hacker.

Hành động:

• Bằng chứng được sử dụng để đối mặt với nhân viên, dẫn đến lời thú nhận.
• Công ty tăng cường các biện pháp bảo mật dữ liệu và giám sát nhân viên.
• Thông tin được chuyển cho cơ quan thực thi pháp luật để điều tra thêm.

Thiết bị và Vị trí của Bằng chứng Tiềm năng

1. Ổ cứng: Tệp văn bản, hình ảnh, video, đa phương tiện, cơ sở dữ liệu và chương trình máy tính.
2. Ổ USB: Tệp văn bản, đồ họa, hình ảnh và ảnh.
3. Thẻ nhớ: Nhật ký sự kiện, nhật ký trò chuyện, tệp văn bản, tệp hình ảnh, tệp ảnh và lịch sử duyệt internet.
4. Thẻ thông minh: Bằng chứng được tìm thấy trong việc nhận dạng hoặc xác thực thông tin của thẻ và người dùng, mức độ truy cập, cấu hình, quyền hạn và trong chính thiết bị.
5. Dongle: Thiết bị chính nó.
6. Máy quét sinh trắc học: Thiết bị chính nó.
7. Máy trả lời tự động: Bản ghi âm thanh như tin nhắn đã xóa, số cuối cùng được gọi, ghi chú, số điện thoại và băng.
8. Máy ảnh kỹ thuật số: Hình ảnh, băng có thể tháo rời, video, âm thanh, dấu thời gian và ngày tháng, v.v.

Ví dụ thực tế: Điều tra gian lận tài chính sử dụng nhiều thiết bị

Tình huống: Một công ty tài chính nghi ngờ một trong các nhân viên của họ đang thực hiện giao dịch gian lận và rửa tiền.

Quá trình điều tra và nguồn bằng chứng:

1. Máy tính công ty (Ổ cứng):
   • Phân tích tệp bảng tính chứa dữ liệu tài chính bất thường.
   • Kiểm tra email liên lạc với các tài khoản ngân hàng nước ngoài.
   • Xem xét lịch sử trình duyệt cho các trang web liên quan đến tiền điện tử.
2. Điện thoại thông minh cá nhân:
   • Trích xuất tin nhắn văn bản thảo luận về các giao dịch bất hợp pháp.
   • Kiểm tra ứng dụng ngân hàng và ví tiền điện tử.
   • Phân tích dữ liệu GPS để xác minh vị trí trong thời gian diễn ra các giao dịch đáng ngờ.
3. Ổ USB:
   • Khôi phục các tệp đã xóa chứa thông tin tài khoản ngân hàng của khách hàng.
   • Tìm thấy phần mềm độc hại được sử dụng để lấy cắp thông tin đăng nhập.
4. Máy in công ty:
   • Kiểm tra nhật ký in để xác định các tài liệu nhạy cảm đã được in.
   • Phân tích bộ nhớ cache máy in để khôi phục nội dung đã in.
5. Camera an ninh:
   • Xem lại video để xác nhận sự hiện diện của nghi phạm tại văn phòng vào thời điểm bất thường.

Kết quả:

• Phát hiện một kế hoạch phức tạp để chuyển tiền của công ty vào các tài khoản cá nhân.
• Tìm thấy bằng chứng về việc sử dụng tiền điện tử để rửa tiền.
• Xác định sự cộng tác với các bên bên ngoài trong hoạt động gian lận.

Hành động:

• Bằng chứng được tổng hợp thành một báo cáo toàn diện cho cơ quan thực thi pháp luật.
• Nhân viên bị bắt và đối mặt với nhiều cáo buộc hình sự.
• Công ty thực hiện kiểm toán nội bộ và tăng cường các biện pháp kiểm soát tài chính.

Ví dụ này minh họa cách bằng chứng từ nhiều thiết bị khác nhau có thể được kết hợp để xây dựng một trường hợp toàn diện trong một cuộc điều tra phức tạp.

Quy tắc chứng cứ

Định nghĩa: Quy tắc chứng cứ quy định việc liệu, khi nào, bằng cách nào và với mục đích gì mà bằng chứng của một vụ án có thể được đưa ra trước người xét xử để xem xét.

Người xét xử có thể là thẩm phán hoặc bồi thẩm đoàn, tùy thuộc vào mục đích của phiên tòa và lựa chọn của các bên.

Những điểm quan trọng cần nhớ:

1. Bằng chứng được trình bày trước tòa phải tuân thủ các quy tắc chứng cứ đã được thiết lập.
2. Trước khi bắt đầu quá trình điều tra, điều tra viên cần hiểu rõ các quy tắc chứng cứ.
3. Mục đích chính của các quy tắc này là đảm bảo công bằng cho cả hai bên và ngăn chặn các cáo buộc quá mức.

Ví dụ minh họa: Áp dụng Quy tắc chứng cứ trong một vụ án tội phạm mạng

Tình huống: Một hacker bị buộc tội xâm nhập vào hệ thống ngân hàng và đánh cắp thông tin khách hàng.

Áp dụng Quy tắc chứng cứ:

1. Quy tắc bằng chứng tốt nhất:
   • Điều tra viên tạo bản sao bit-by-bit của ổ cứng máy tính của nghi phạm.
   • Bản gốc được bảo quản an toàn và bản sao được sử dụng để phân tích.
   • Trong phiên tòa, điều tra viên giải thích quy trình tạo bản sao và chứng minh tính toàn vẹn của nó.
2. Chuỗi hành trình:
   • Mỗi người xử lý bằng chứng kỹ thuật số đều ký vào một biểu mẫu, ghi lại thời gian và mục đích tiếp xúc với bằng chứng.
   • Điều này được trình bày trước tòa để chứng minh rằng bằng chứng không bị can thiệp.
3. Bằng chứng nghe nói:
   • Email giữa nghi phạm và đồng phạm được chấp nhận dưới dạng ngoại lệ “tuyên bố của bên đối lập” đối với quy tắc bằng chứng nghe nói.
4. Chứng thực:
   • Một chuyên gia pháp y máy tính được gọi để xác thực các phương pháp được sử dụng để thu thập và phân tích bằng chứng kỹ thuật số.
5. Tính liên quan:
   • Luật sư biện hộ phản đối việc đưa ra lịch sử duyệt web của nghi phạm, cho rằng nó không liên quan.
   • Công tố viên lập luận rằng nó cho thấy kiến thức và ý định của nghi phạm, và thẩm phán cho phép nó.

Kết quả:

• Bằng chứng kỹ thuật số được chấp nhận bởi tòa án do tuân thủ nghiêm ngặt các quy tắc chứng cứ.
• Công tố viên có thể xây dựng một trường hợp mạnh mẽ dựa trên bằng chứng kỹ thuật số được thu thập đúng cách.
• Nghi phạm bị kết tội dựa trên sự kết hợp của bằng chứng kỹ thuật số và lời khai của chuyên gia.

Quy tắc bằng chứng tốt nhất

Quy tắc bằng chứng tốt nhất được thiết lập để ngăn chặn bất kỳ sự thay đổi nào đối với bằng chứng kỹ thuật số, dù là cố ý hay vô ý.

Nó quy định rằng tòa án chỉ cho phép bằng chứng gốc của một tài liệu, ảnh hoặc bản ghi tại phiên tòa thay vì một bản sao, nhưng bản sao sẽ được chấp nhận làm bằng chứng trong các điều kiện sau:

1. Bằng chứng gốc bị phá hủy do hỏa hoạn/lũ lụt
2. Bằng chứng gốc bị phá hủy trong quá trình kinh doanh bình thường
3. Bằng chứng gốc đang trong sở hữu của bên thứ ba

Ví dụ thực tế: Áp dụng Quy tắc bằng chứng tốt nhất trong một vụ án lừa đảo trực tuyến

Tình huống: Một cá nhân bị buộc tội điều hành một kế hoạch lừa đảo trực tuyến sử dụng nhiều tài khoản email giả mạo.

Áp dụng Quy tắc bằng chứng tốt nhất:

1. Thu thập bằng chứng email:
   • Điều tra viên gửi yêu cầu pháp lý đến nhà cung cấp dịch vụ email để có được bản gốc của các email.
   • Nhà cung cấp cung cấp bản sao được chứng nhận của các email, cùng với metadata liên quan.
2. Xử lý máy tính của nghi phạm:
   • Tạo bản sao bit-by-bit của ổ cứng sử dụng công cụ pháp y được chứng nhận.
   • Bản gốc được niêm phong và lưu trữ an toàn làm bằng chứng.
   • Tất cả các phân tích được thực hiện trên bản sao.
3. Trình bày trước tòa:
   • Công tố viên trình bày bản sao được chứng nhận của các email từ nhà cung cấp dịch vụ.
   • Họ giải thích rằng đây là “bằng chứng tốt nhất” có sẵn, vì các email gốc chỉ tồn tại dưới dạng kỹ thuật số trên máy chủ của nhà cung cấp.
   • Đối với ổ cứng, họ trình bày bản sao pháp y và giải thích quy trình tạo bản sao.
4. Xử lý dữ liệu đã xóa:
   • Các tệp đã khôi phục từ không gian chưa phân bổ trên ổ cứng được trình bày.
   • Điều tra viên giải thích rằng đây là “bằng chứng tốt nhất” có sẵn cho dữ liệu đã bị xóa.
5. Đối phó với sự phản đối:
   • Luật sư biện hộ phản đối việc sử dụng bản sao thay vì bản gốc của ổ cứng.
   • Công tố viên lập luận rằng việc sử dụng bản gốc có thể làm thay đổi dữ liệu, và bản sao là “bằng chứng tốt nhất” không bị thay đổi.
   • Thẩm phán đồng ý và cho phép sử dụng bản sao.

Kết quả:

• Tòa án chấp nhận các bản sao email được chứng nhận và bản sao pháp y của ổ cứng làm bằng chứng.
• Quy tắc bằng chứng tốt nhất được tuân thủ, đảm bảo tính toàn vẹn của bằng chứng kỹ thuật số.
• Bằng chứng được chấp nhận đóng vai trò quan trọng trong việc kết tội nghi phạm.

Ví dụ này minh họa cách Quy tắc bằng chứng tốt nhất được áp dụng trong bối cảnh bằng chứng kỹ thuật số, đảm bảo rằng bằng chứng đáng tin cậy nhất và chính xác nhất được trình bày trước tòa.

Quy tắc của Liên bang về Chứng cứ

Quy tắc 101: Phạm vi Những quy tắc này chi phối các thủ tục tố tụng tại các tòa án Hoa Kỳ và trước các thẩm phán phá sản Hoa Kỳ và thẩm phán tòa án Hoa Kỳ, trong phạm vi và với các ngoại lệ được nêu trong quy tắc 1101.

Quy tắc 102: Mục đích và Cấu trúc Những quy tắc này sẽ được giải thích để đảm bảo sự công bằng trong quản lý, loại bỏ chi phí và sự chậm trễ không chính đáng, và thúc đẩy sự phát triển của luật chứng cứ để cuối cùng sự thật có thể được xác định và các thủ tục tố tụng được quyết định một cách công bằng.

Quy tắc 103: Quyết định về Chứng cứ

(a) Ảnh hưởng của quyết định sai lầm

• Lỗi có thể không được dự đoán dựa trên một quyết định loại trừ chứng cứ trừ khi quyền cơ bản của bên bị ảnh hưởng
• Phản đối – Trong trường hợp quyết định chấp nhận chứng cứ, một phản đối kịp thời hoặc kiến nghị loại bỏ xuất hiện trong hồ sơ, nêu rõ lý do cụ thể của phản đối, nếu lý do cụ thể không rõ ràng từ ngữ cảnh
• Đề nghị chứng minh – Trong trường hợp quyết định loại trừ chứng cứ, nội dung của chứng cứ đã được làm rõ cho tòa án bằng đề nghị hoặc rõ ràng từ ngữ cảnh trong đó các câu hỏi được đặt ra

(b) Hồ sơ về đề nghị và quyết định Tòa án có thể thêm bất kỳ tuyên bố nào khác hoặc thêm cho thấy tính chất của chứng cứ, hình thức mà nó được đưa ra, phản đối được đưa ra và quyết định về đó. Nó có thể chỉ đạo việc đưa ra đề nghị dưới dạng câu hỏi và trả lời.

(c) Phiên điều trần của bồi thẩm đoàn Các thủ tục sẽ được tiến hành, trong phạm vi có thể thực hiện được, để ngăn chặn việc đề xuất chứng cứ không được chấp nhận cho bồi thẩm đoàn bằng bất kỳ phương tiện nào, chẳng hạn như đưa ra tuyên bố hoặc đề nghị chứng minh hoặc đặt câu hỏi trong phiên điều trần của bồi thẩm đoàn.

(d) Lỗi rõ ràng Không có quy tắc nào trong đây ngăn cản việc lưu ý đến những lỗi rõ ràng ảnh hưởng đến các quyền cơ bản mặc dù chúng không được đưa ra chú ý của tòa án.

Ví dụ thực tế: Áp dụng Quy tắc Liên bang về Chứng cứ trong một vụ án tội phạm mạng

Tình huống: Một cá nhân bị buộc tội hack vào hệ thống của một công ty và đánh cắp thông tin khách hàng.

Áp dụng Quy tắc Liên bang về Chứng cứ:

1. Quy tắc 102: Mục đích và Cấu trúc
   • Công tố viên trình bày bằng chứng kỹ thuật số theo cách có tổ chức và dễ hiểu, đảm bảo sự công bằng và hiệu quả trong quá trình tố tụng.
2. Quy tắc 103(a): Phản đối chứng cứ
   • Luật sư biện hộ phản đối việc đưa ra nhật ký máy chủ, cho rằng chúng không được xác thực đúng cách.
   • Thẩm phán ghi nhận phản đối và yêu cầu công tố viên cung cấp thêm thông tin về nguồn gốc của nhật ký.
3. Quy tắc 103(b): Hồ sơ về đề nghị và quyết định
   • Tòa án ghi lại chi tiết về cuộc tranh luận liên quan đến việc chấp nhận bằng chứng kỹ thuật số, bao gồm các lập luận của cả hai bên và quyết định của thẩm phán.
4. Quy tắc 103(c): Phiên điều trần của bồi thẩm đoàn
   • Khi thảo luận về tính chấp nhận được của một số email bị cáo buộc là bị đánh cắp, thẩm phán yêu cầu bồi thẩm đoàn rời khỏi phòng xử án để tránh tiếp xúc với chứng cứ có thể không được chấp nhận.
5. Quy tắc 103(d): Lỗi rõ ràng
   • Trong quá trình xét xử, phát hiện ra rằng một phần quan trọng của bằng chứng kỹ thuật số đã bị bỏ qua do lỗi kỹ thuật. Mặc dù không bên nào nêu ra vấn đề này, thẩm phán quyết định xem xét nó để đảm bảo một phiên tòa công bằng.

Kết quả:

• Việc áp dụng cẩn thận các Quy tắc Liên bang về Chứng cứ đảm bảo rằng bằng chứng kỹ thuật số được xử lý một cách công bằng và chính xác.
• Tính toàn vẹn của quá trình tố tụng được duy trì, với sự cân bằng giữa nhu cầu trình bày bằng chứng và quyền của bị cáo đối với một phiên tòa công bằng.
• Bồi thẩm đoàn chỉ được tiếp xúc với bằng chứng kỹ thuật số đã được xác thực và chấp nhận đúng cách, dẫn đến một phán quyết dựa trên thông tin đáng tin cậy.

Ví dụ này minh họa cách các Quy tắc Liên bang về Chứng cứ được áp dụng trong bối cảnh của một vụ án tội phạm mạng, đảm bảo rằng bằng chứng kỹ thuật số được xử lý một cách công bằng và hiệu quả trong quá trình tố tụng.

Quy tắc 104: Câu hỏi sơ bộ

(a) Câu hỏi về khả năng chấp nhận nói chung Các câu hỏi sơ bộ liên quan đến trình độ của một người để làm nhân chứng, sự tồn tại của một đặc quyền, hoặc khả năng chấp nhận của chứng cứ sẽ được quyết định bởi tòa án, tuân theo các quy định của tiểu mục (b).

(b) Tính liên quan phụ thuộc vào sự kiện Khi tính liên quan của chứng cứ phụ thuộc vào việc đáp ứng một điều kiện của sự kiện, tòa án sẽ chấp nhận nó khi có đủ chứng cứ để hỗ trợ việc tìm thấy sự đáp ứng của điều kiện đó.

(c) Lời khai của bị cáo Bị cáo không, bằng cách làm chứng về một vấn đề sơ bộ, trở thành đối tượng của việc thẩm vấn chéo về các vấn đề khác trong vụ án.

(d) Phiên điều trần của bồi thẩm đoàn Phiên điều trần về khả năng chấp nhận của lời thú tội sẽ trong mọi trường hợp được tiến hành ngoài sự hiện diện của bồi thẩm đoàn. Phiên điều trần về các vấn đề sơ bộ khác sẽ được tiến hành khi lợi ích công lý yêu cầu, hoặc khi bị cáo là nhân chứng và yêu cầu như vậy.

(e) Trọng lượng và độ tin cậy Quy tắc này không giới hạn quyền của một bên trong việc đưa ra trước bồi thẩm đoàn chứng cứ liên quan đến trọng lượng hoặc độ tin cậy.

Ví dụ thực tế: Áp dụng Quy tắc 104 trong một vụ án liên quan đến bằng chứng kỹ thuật số

Tình huống: Trong một vụ án gian lận mạng, công tố viên muốn đưa ra bằng chứng từ một thiết bị USB được tìm thấy tại nhà của bị cáo.

Áp dụng Quy tắc 104:

1. Câu hỏi về khả năng chấp nhận (104a):
   • Luật sư biện hộ phản đối việc chấp nhận nội dung của USB, cho rằng nó có thể đã bị can thiệp.
   • Thẩm phán quyết định tổ chức một phiên điều trần sơ bộ để xác định khả năng chấp nhận của bằng chứng này.
2. Tính liên quan phụ thuộc vào sự kiện (104b):
   • Công tố viên phải chứng minh rằng USB thuộc về bị cáo và không bị thay đổi kể từ khi bị tịch thu.
   • Họ trình bày chứng cứ về chuỗi hành trình và kết quả phân tích pháp y để hỗ trợ tính xác thực của USB.
3. Phiên điều trần của bồi thẩm đoàn (104d):
   • Thẩm phán quyết định tổ chức phiên điều trần về khả năng chấp nhận của USB ngoài sự hiện diện của bồi thẩm đoàn để tránh định kiến tiềm ẩn.
4. Trọng lượng và độ tin cậy (104e):
   • Sau khi USB được chấp nhận làm bằng chứng, luật sư biện hộ vẫn có quyền đặt câu hỏi về độ tin cậy của nó trước bồi thẩm đoàn, chẳng hạn như khả năng nó có thể đã bị người khác truy cập.

Kết quả:

• Thẩm phán quyết định chấp nhận USB làm bằng chứng sau khi xem xét cẩn thận tính xác thực và chuỗi hành trình của nó.
• Bồi thẩm đoàn được phép xem xét nội dung của USB, nhưng cũng được thông báo về các vấn đề liên quan đến độ tin cậy của nó.
• Quá trình này đảm bảo rằng chỉ có bằng chứng kỹ thuật số đáng tin cậy được đưa ra trước tòa, đồng thời bảo vệ quyền của bị cáo đối với một phiên tòa công bằng.

Quy tắc 105: Khả năng chấp nhận hạn chế

Khi chứng cứ được chấp nhận đối với một bên hoặc cho một mục đích nhưng không được chấp nhận đối với bên khác hoặc cho mục đích khác, tòa án, theo yêu cầu, sẽ hạn chế chứng cứ trong phạm vi thích hợp và hướng dẫn bồi thẩm đoàn phù hợp.

Ví dụ thực tế: Áp dụng Quy tắc 105 trong một vụ án tội phạm mạng

Tình huống: Trong một vụ án liên quan đến nhiều bị cáo bị buộc tội tấn công DDoS (Từ chối Dịch vụ Phân tán), có một email được tìm thấy trên máy tính của Bị cáo A thảo luận về kế hoạch tấn công.

Áp dụng Quy tắc 105:

1. Chấp nhận chứng cứ:
   • Công tố viên muốn đưa email làm bằng chứng chống lại cả Bị cáo A và Bị cáo B.
   • Email được tìm thấy trên máy tính của Bị cáo A và đề cập đến Bị cáo B.
2. Phản đối của luật sư biện hộ:
   • Luật sư của Bị cáo B phản đối việc sử dụng email này làm bằng chứng chống lại thân chủ của mình, cho rằng đó là bằng chứng nghe nói đối với Bị cáo B.
3. Quyết định của thẩm phán:
   • Thẩm phán quyết định chấp nhận email làm bằng chứng, nhưng với khả năng chấp nhận hạn chế.
   • Email được chấp nhận làm bằng chứng chống lại Bị cáo A, nhưng không được sử dụng trực tiếp chống lại Bị cáo B.
4. Hướng dẫn bồi thẩm đoàn:
   • Thẩm phán hướng dẫn bồi thẩm đoàn rằng họ chỉ có thể xem xét email này khi đánh giá tội của Bị cáo A.
   • Bồi thẩm đoàn được chỉ dẫn rõ ràng không được sử dụng email này làm bằng chứng trực tiếp chống lại Bị cáo B.
5. Trình bày của công tố viên:
   • Công tố viên được hướng dẫn phải cẩn thận trong cách họ đề cập đến email này trong lập luận của mình, đảm bảo rằng họ không ngụ ý nó là bằng chứng trực tiếp chống lại Bị cáo B.

Kết quả:

• Email được sử dụng làm bằng chứng trong phiên tòa, nhưng với những hạn chế rõ ràng.
• Quyền của Bị cáo B được bảo vệ khỏi bằng chứng nghe nói không thích hợp.
• Bồi thẩm đoàn nhận được hướng dẫn rõ ràng về cách họ có thể và không thể sử dụng bằng chứng này.
• Quá trình xét xử duy trì sự công bằng đồng thời vẫn cho phép sử dụng bằng chứng kỹ thuật số quan trọng.

Ví dụ này minh họa cách Quy tắc 105 có thể được áp dụng trong các vụ án tội phạm mạng phức tạp liên quan đến nhiều bị cáo, đảm bảo rằng bằng chứng kỹ thuật số được sử dụng một cách công bằng và phù hợp.

Quy tắc Bằng chứng Nghe nói (Hearsay Rule)

Theo Quy tắc 801 của Quy tắc Chứng cứ Liên bang, Bằng chứng nghe nói là một tuyên bố được đưa ra bởi người không phải là người làm chứng đang làm chứng tại phiên tòa hoặc phiên điều trần hiện tại. Nó được đưa ra làm bằng chứng để chứng minh sự thật của vấn đề được khẳng định. Bằng chứng nghe nói thường không được chấp nhận trừ khi được quy định bởi quy tắc này hoặc bởi các quy tắc khác do Tòa án Tối cao quy định theo thẩm quyền pháp định hoặc bởi Đạo luật của Quốc hội.

Một tuyên bố không phải là bằng chứng nghe nói nếu nó là:

1. Tuyên bố trước đó của một nhân chứng hiện tại.
2. Tuyên bố của một bên đối lập.

Ví dụ thực tế: Áp dụng Quy tắc Bằng chứng Nghe nói trong một vụ án tội phạm mạng

Tình huống: Trong một vụ án liên quan đến một vụ tấn công mạng lớn, công tố viên muốn đưa ra một số bằng chứng kỹ thuật số có thể bị coi là bằng chứng nghe nói.

Áp dụng Quy tắc Bằng chứng Nghe nói:

1. Nhật ký hệ thống:
   • Công tố viên muốn đưa ra nhật ký hệ thống cho thấy thời gian và nguồn của cuộc tấn công.
   • Luật sư biện hộ phản đối, cho rằng đây là bằng chứng nghe nói vì nhật ký được tạo ra bởi máy tính, không phải con người.
   • Thẩm phán quyết định chấp nhận nhật ký, coi chúng là ngoại lệ đối với quy tắc bằng chứng nghe nói dưới dạng “hồ sơ kinh doanh thường xuyên”.
2. Email giữa các nghi phạm:
   • Công tố viên trình bày email giữa bị cáo và một đồng phạm bị cáo buộc thảo luận về kế hoạch tấn công.
   • Email được chấp nhận không phải là bằng chứng nghe nói vì chúng là “tuyên bố của một bên đối lập”.
3. Bài đăng trên diễn đàn trực tuyến:
   • Một bài đăng trên diễn đàn hacker được cho là của bị cáo thảo luận về cuộc tấn công.
   • Luật sư biện hộ phản đối việc chấp nhận bài đăng này vì không thể xác minh danh tính của người đăng.
   • Thẩm phán quyết định chấp nhận bài đăng, nhưng hướng dẫn bồi thẩm đoàn xem xét cẩn thận về tính xác thực của nó.
4. Lời khai của chuyên gia:
   • Một chuyên gia an ninh mạng làm chứng về phân tích của họ về cuộc tấn công, bao gồm thông tin từ các báo cáo và nguồn khác.
   • Mặc dù một số thông tin này có thể được coi là bằng chứng nghe nói, nó được chấp nhận như là cơ sở cho ý kiến chuyên gia.
5. Tin nhắn tức thời:
   • Công tố viên trình bày bản ghi các cuộc trò chuyện tin nhắn tức thời giữa bị cáo và những người khác.
   • Chúng được chấp nhận không phải là bằng chứng nghe nói đối với các tuyên bố của bị cáo, nhưng thẩm phán hướng dẫn bồi thẩm đoàn chỉ xem xét các tuyên bố của những người khác cho mục đích ngữ cảnh, không phải cho sự thật của nội dung.

Kết quả:

• Một số bằng chứng kỹ thuật số được chấp nhận dưới dạng ngoại lệ đối với quy tắc bằng chứng nghe nói hoặc không được coi là bằng chứng nghe nói.
• Các bằng chứng khác bị loại trừ hoặc bị hạn chế trong cách sử dụng.
• Bồi thẩm đoàn nhận được hướng dẫn cụ thể về cách đánh giá và sử dụng các loại bằng chứng khác nhau.
• Quá trình này đảm bảo rằng chỉ có bằng chứng đáng tin cậy và phù hợp được xem xét, trong khi vẫn bảo vệ quyền của bị cáo.

Ví dụ này minh họa sự phức tạp của việc áp dụng quy tắc bằng chứng nghe nói trong các vụ án tội phạm mạng, nơi nhiều bằng chứng kỹ thuật số có thể gặp phải các vấn đề liên quan đến bằng chứng nghe nói.

Quy tắc 901-903: Xác thực và Nhận dạng

Quy tắc 901: Yêu cầu xác thực hoặc nhận dạng (a) Yêu cầu chung: Để đáp ứng yêu cầu xác thực hoặc nhận dạng như một điều kiện tiên quyết để được chấp nhận, bằng chứng phải đủ để hỗ trợ một phát hiện rằng vấn đề đang được đề cập là những gì người ủng hộ nó tuyên bố.

Quy tắc 902: Bằng chứng tự xác thực Một số loại bằng chứng nhất định không cần bằng chứng bên ngoài về tính xác thực để được chấp nhận. Những điều này bao gồm các tài liệu công cộng nhất định, báo cáo chứng nhận, và các ấn phẩm chính thức.

Quy tắc 903: Chứng nhận công chứng viên Một chứng nhận công chứng viên đáp ứng các yêu cầu của Quy tắc 902(8) về xác thực có thể được chấp nhận mà không cần bằng chứng thêm về tính xác thực.

Ví dụ thực tế: Áp dụng Quy tắc Xác thực trong một vụ án tội phạm mạng

Tình huống: Trong một vụ án liên quan đến hacking và đánh cắp dữ liệu, công tố viên muốn đưa ra nhiều loại bằng chứng kỹ thuật số khác nhau.

Áp dụng Quy tắc Xác thực:

1. Nhật ký máy chủ (Quy tắc 901):
   • Công tố viên gọi quản trị viên hệ thống làm chứng để xác thực nhật ký máy chủ.
   • Quản trị viên giải thích quy trình tạo và lưu trữ nhật ký, đáp ứng yêu cầu xác thực.
2. Ảnh chụp màn hình của trang web bị hack (Quy tắc 901):
   • Một điều tra viên kỹ thuật số làm chứng về cách họ chụp và lưu ảnh chụp màn hình.
   • Họ cũng cung cấp metadata để xác minh ngày và thời gian chụp ảnh.
3. Email bị chặn (Quy tắc 901):
   • Một chuyên gia pháp y máy tính giải thích quy trình trích xuất email từ máy chủ.
   • Họ cung cấp bằng chứng về tính toàn vẹn của dữ liệu trong quá trình trích xuất.
4. Chứng chỉ số (Quy tắc 902):
   • Công tố viên trình bày một chứng chỉ số được sử dụng trong cuộc tấn công.
   • Chứng chỉ được coi là tự xác thực theo Quy tắc 902 và được chấp nhận mà không cần xác thực thêm.
5. Báo cáo pháp y được công chứng (Quy tắc 903):
   • Một báo cáo phân tích pháp y được công chứng được đưa ra.
   • Báo cáo được chấp nhận theo Quy tắc 903 mà không cần bằng chứng thêm về tính xác thực.

Kết quả:

• Hầu hết bằng chứng kỹ thuật số được chấp nhận sau khi được xác thực đúng cách.
• Quy trình xác thực đảm bảo tính đáng tin cậy và tính toàn vẹn của bằng chứng.
• Bồi thẩm đoàn có thể tin tưởng vào tính xác thực của bằng chứng được trình bày.
• Quyền của bị cáo được bảo vệ thông qua quy trình xác thực thích hợp.

Ví dụ này minh họa tầm quan trọng của việc xác thực đúng cách đối với các loại bằng chứng kỹ thuật số khác nhau trong các vụ án tội phạm mạng, đảm bảo rằng chỉ có bằng chứng đáng tin cậy và có thể xác minh được đưa ra trước tòa.

Nhóm Làm việc Khoa học về Bằng chứng Số (SWGDE)

Nguyên tắc 1: Để đảm bảo rằng bằng chứng số được thu thập, bảo quản, kiểm tra hoặc chuyển giao theo cách bảo vệ tính chính xác và độ tin cậy của bằng chứng, các tổ chức thực thi pháp luật và tổ chức pháp y phải thiết lập và duy trì một hệ thống hiệu quả để kiểm soát chất lượng.

Quy trình Hoạt động Tiêu chuẩn (SOPs)

Tiêu chuẩn và Tiêu chí 1.1: Tất cả các cơ quan thu giữ và/hoặc kiểm tra bằng chứng số phải duy trì một tài liệu SOP phù hợp. Tất cả các yếu tố trong chính sách và thủ tục của cơ quan liên quan đến bằng chứng số phải được nêu rõ trong tài liệu SOP này, phải được ban hành dưới thẩm quyền quản lý của cơ quan.

Thảo luận: Việc sử dụng SOPs là nền tảng cho cả thực thi pháp luật và khoa học pháp y. Các hướng dẫn phù hợp với các nguyên tắc khoa học và pháp lý là cần thiết để các kết quả và kết luận được chấp nhận bởi tòa án và các cơ quan khác. Việc phát triển và thực hiện các SOPs này phải nằm dưới thẩm quyền quản lý của cơ quan.

Tiêu chuẩn và Tiêu chí 1.2: Ban quản lý cơ quan phải xem xét SOPs hàng năm để đảm bảo tính phù hợp và hiệu quả liên tục của chúng.

Thảo luận: Những thay đổi công nghệ nhanh chóng là đặc trưng của bằng chứng số, trong đó các loại, định dạng và phương pháp thu giữ và kiểm tra bằng chứng số thay đổi nhanh chóng. Để đảm bảo rằng nhân sự, đào tạo, thiết bị và thủ tục tiếp tục phù hợp và hiệu quả, ban quản lý phải xem xét và cập nhật tài liệu SOP hàng năm.

Tiêu chuẩn và Tiêu chí 1.3: SOPs phải được chấp nhận rộng rãi trong lĩnh vực hoặc được hỗ trợ bởi dữ liệu được thu thập và ghi lại một cách khoa học.

Thảo luận: Vì nhiều thủ tục khoa học khác nhau có thể được áp dụng hợp lệ cho một vấn đề nhất định, tiêu chuẩn và tiêu chí để đánh giá thủ tục cần phải linh hoạt. Tính hợp lệ của một thủ tục có thể được thiết lập bằng cách chứng minh tính chính xác và độ tin cậy của các kỹ thuật cụ thể. Trong lĩnh vực bằng chứng số, việc đánh giá SOPs bởi các cơ quan khác có thể hữu ích.

Ví dụ thực tế: Áp dụng Nguyên tắc SWGDE trong một phòng thí nghiệm pháp y số

Tình huống: Một phòng thí nghiệm pháp y số mới được thành lập để hỗ trợ các cuộc điều tra tội phạm mạng trong một khu vực tài phán.

Áp dụng Nguyên tắc SWGDE:

1. Thiết lập SOPs (Tiêu chuẩn 1.1):
   • Phòng thí nghiệm phát triển một bộ SOPs toàn diện bao gồm tất cả các khía cạnh của việc xử lý bằng chứng số.
   • SOPs bao gồm các thủ tục cho việc thu thập, bảo quản, phân tích và báo cáo bằng chứng số.
   • Tài liệu được phê duyệt chính thức bởi giám đốc phòng thí nghiệm.
2. Xem xét hàng năm (Tiêu chuẩn 1.2):
   • Phòng thí nghiệm lên lịch xem xét SOPs hàng năm.
   • Trong cuộc xem xét đầu tiên, họ cập nhật các thủ tục để phản ánh các công cụ pháp y mới được mua.
   • Họ cũng điều chỉnh quy trình để giải quyết các thách thức gặp phải trong năm đầu tiên hoạt động.
3. Xác nhận phương pháp (Tiêu chuẩn 1.3):
   • Phòng thí nghiệm tiến hành các thử nghiệm để xác nhận hiệu quả của các phương pháp được mô tả trong SOPs.
   • Họ so sánh kết quả của họ với các phòng thí nghiệm pháp y số đã được thiết lập khác.
   • Các phương pháp mới được đưa vào SOPs chỉ sau khi được xác nhận nghiêm ngặt.
4. Đào tạo nhân viên:
   • Tất cả nhân viên phòng thí nghiệm được đào tạo kỹ lưỡng về SOPs.
   • Các kỳ thi thực hành và lý thuyết được tổ chức để đảm bảo sự hiểu biết và tuân thủ.
5. Kiểm tra chất lượng:
   • Phòng thí nghiệm thực hiện các kiểm tra chất lượng thường xuyên để đảm bảo tuân thủ SOPs.
   • Các cuộc kiểm tra ngẫu nhiên được thực hiện để xác minh tính nhất quán trong việc xử lý bằng chứng.
6. Tài liệu hóa:
   • Mọi bước trong quá trình xử lý bằng chứng được ghi lại chi tiết.
   • Các biểu mẫu tiêu chuẩn được phát triển để đảm bảo tính nhất quán trong tài liệu.

Kết quả:

• Phòng thí nghiệm thiết lập một quy trình mạnh mẽ và đáng tin cậy cho việc xử lý bằng chứng số.
• SOPs đảm bảo tính nhất quán và chất lượng trong công việc của phòng thí nghiệm.
• Xem xét và cập nhật thường xuyên giúp phòng thí nghiệm theo kịp với các tiến bộ công nghệ.
• Phương pháp được xác nhận tăng cường độ tin cậy của kết quả phòng thí nghiệm trong tòa án.
• Đào tạo kỹ lưỡng và kiểm tra chất lượng giảm thiểu nguy cơ lỗi con người.

Ví dụ này minh họa cách các nguyên tắc SWGDE có thể được áp dụng trong thực tế để thiết lập và duy trì một phòng thí nghiệm pháp y số hiệu quả và đáng tin cậy.

Tiêu chuẩn và Tiêu chí 1.4: Cơ quan phải duy trì bản sao bằng văn bản của các thủ tục kỹ thuật thích hợp.

Thảo luận: Các thủ tục nên nêu rõ mục đích và ứng dụng phù hợp của chúng. Các yếu tố cần thiết như phần cứng và phần mềm phải được liệt kê và các bước thích hợp để sử dụng thành công nên được liệt kê hoặc thảo luận. Bất kỳ hạn chế nào trong việc sử dụng thủ tục hoặc việc sử dụng hoặc diễn giải kết quả nên được thiết lập. Nhân viên sử dụng các thủ tục này phải quen thuộc với chúng và có sẵn để tham khảo.

Tiêu chuẩn và Tiêu chí 1.5: Cơ quan phải sử dụng phần cứng và phần mềm phù hợp và hiệu quả cho thủ tục thu giữ hoặc kiểm tra.

Thảo luận: Mặc dù nhiều thủ tục có thể chấp nhận được để thực hiện một nhiệm vụ, sự khác biệt đáng kể giữa các trường hợp đòi hỏi nhân viên phải có sự linh hoạt trong việc lựa chọn phương pháp phù hợp với vấn đề.

Phần cứng được sử dụng trong việc thu giữ và/hoặc kiểm tra bằng chứng số nên ở trong tình trạng hoạt động tốt và được kiểm tra để đảm bảo rằng nó hoạt động chính xác. Phần mềm phải được kiểm tra để đảm bảo rằng nó tạo ra kết quả đáng tin cậy để sử dụng cho mục đích thu giữ và/hoặc kiểm tra.

Tiêu chuẩn và Tiêu chí 1.6: Tất cả các hoạt động liên quan đến việc thu giữ, lưu trữ, kiểm tra hoặc chuyển giao bằng chứng số phải được ghi lại bằng văn bản và có sẵn để xem xét và làm chứng.

Thảo luận: Nói chung, tài liệu để hỗ trợ kết luận phải sao cho, trong trường hợp vắng mặt người tạo ra, một người có năng lực khác có thể đánh giá những gì đã được thực hiện, diễn giải dữ liệu và đi đến cùng kết luận như người tạo ra.

Yêu cầu về độ tin cậy của bằng chứng đòi hỏi phải có chuỗi hành trình cho tất cả các mục bằng chứng. Điều này ngụ ý rằng tài liệu thích hợp phải được duy trì theo thứ tự thời gian cho tất cả bằng chứng số.

Ghi chú trường hợp và hồ sơ quan sát phải có tính chất lâu dài. Ghi chú và quan sát viết tay phải bằng mực, không phải bút chì, mặc dù bút chì (bao gồm cả màu) có thể thích hợp cho sơ đồ hoặc vẽ. Bất kỳ sửa chữa nào đối với ghi chú phải được thực hiện bằng cách gạch bỏ đơn có ký tắt; không có thông tin viết tay nào nên bị xóa hoặc tẩy xóa. Ghi chú và hồ sơ nên được xác thực bằng chữ ký viết tay, ký tắt, chữ ký số hoặc hệ thống đánh dấu khác.

Tiêu chuẩn và Tiêu chí 1.7: Bất kỳ hành động nào có khả năng thay đổi, làm hỏng hoặc phá hủy bất kỳ khía cạnh nào của bằng chứng gốc phải được thực hiện bởi những người có trình độ theo cách hợp pháp về mặt pháp lý.

Thảo luận: Như đã nêu trong các tiêu chuẩn và tiêu chí trước đó, bằng chứng chỉ có giá trị nếu có thể chứng minh được tính chính xác, đáng tin cậy và được kiểm soát. Một chương trình pháp y chất lượng cao bao gồm nhân viên được đào tạo đúng cách và thiết bị, phần mềm và thủ tục thích hợp để đảm bảo tập thể các thuộc tính này.

Ví dụ thực tế: Áp dụng Tiêu chuẩn SWGDE trong một cuộc điều tra tội phạm mạng

Tình huống: Một nhóm điều tra pháp y số được giao nhiệm vụ điều tra một vụ tấn công mạng phức tạp nhắm vào một công ty tài chính lớn.

Áp dụng Tiêu chuẩn SWGDE:

1. Thủ tục kỹ thuật (Tiêu chuẩn 1.4):
   • Nhóm duy trì một thư viện kỹ thuật số các thủ tục kỹ thuật được phê duyệt.
   • Mỗi thủ tục bao gồm mục đích, phạm vi, thiết bị cần thiết và các bước chi tiết.
   • Ví dụ: Thủ tục cho việc thu thập dữ liệu từ xa từ máy chủ bị xâm phạm được tham khảo và tuân theo trong quá trình điều tra.
2. Phần cứng và phần mềm phù hợp (Tiêu chuẩn 1.5):
   • Nhóm sử dụng bộ công cụ pháp y số được công nhận trong ngành để thu thập và phân tích dữ liệu.
   • Tất cả phần mềm được cập nhật đến phiên bản mới nhất và được kiểm tra thường xuyên.
   • Ví dụ: Họ sử dụng EnCase để tạo hình ảnh pháp y của các ổ cứng bị thu giữ và Wireshark để phân tích lưu lượng mạng đã ghi.
3. Ghi chép (Tiêu chuẩn 1.6):
   • Mỗi bước trong quá trình điều tra được ghi lại cẩn thận.
   • Một hệ thống quản lý trường hợp kỹ thuật số được sử dụng để theo dõi tất cả các hoạt động.
   • Ví dụ: Điều tra viên ghi lại thời gian chính xác khi họ bắt đầu thu thập dữ liệu từ mỗi thiết bị, bao gồm cả giá trị băm của các hình ảnh pháp y.
4. Bảo vệ tính toàn vẹn của bằng chứng (Tiêu chuẩn 1.7):
   • Chỉ các điều tra viên được chứng nhận mới được phép xử lý bằng chứng gốc.
   • Tất cả các phân tích được thực hiện trên các bản sao của bằng chứng.
   • Ví dụ: Khi cần phải truy cập vào một hệ thống đang hoạt động, một chuyên gia pháp y cấp cao thực hiện thủ tục với sự giám sát chặt chẽ, ghi lại mọi hành động.
5. Chuỗi hành trình:
   • Một hệ thống chuỗi hành trình nghiêm ngặt được duy trì cho tất cả các bằng chứng số.
   • Mỗi lần chuyển giao bằng chứng được ghi lại với chữ ký, ngày tháng và mục đích.
6. Xem xét độc lập:
   • Tất cả các báo cáo và phân tích được xem xét bởi một điều tra viên thứ hai để đảm bảo độ chính xác và tuân thủ thủ tục.

Kết quả:

• Cuộc điều tra được tiến hành một cách có hệ thống và có thể tái tạo.
• Tất cả các bằng chứng được thu thập và xử lý theo cách duy trì tính chấp nhận được về mặt pháp lý.
• Tài liệu toàn diện hỗ trợ các phát hiện và kết luận của nhóm.
• Tính toàn vẹn của bằng chứng được duy trì trong suốt quá trình điều tra.
• Báo cáo cuối cùng có thể chịu được sự giám sát kỹ lưỡng trong tòa án.

Ví dụ này minh họa cách các tiêu chuẩn SWGDE có thể được áp dụng trong một cuộc điều tra tội phạm mạng thực tế, đảm bảo tính chuyên nghiệp, độ tin cậy và tính chấp nhận được về mặt pháp lý của công việc pháp y số.

Sẵn sàng điều tra số (Forensic Readiness)

Forensic readiness đề cập đến khả năng của một tổ chức trong việc sử dụng tối ưu bằng chứng kỹ thuật số trong thời gian hạn chế và với chi phí điều tra tối thiểu. Nó bao gồm các hành động kỹ thuật và phi kỹ thuật để tối đa hóa năng lực của tổ chức trong việc sử dụng bằng chứng kỹ thuật số.

Forensic readiness bao gồm việc thiết lập các quy trình phản ứng sự cố cụ thể và chỉ định nhân viên được đào tạo để xử lý các quy trình trong trường hợp xảy ra vi phạm. Nó cho phép tổ chức thu thập và bảo quản bằng chứng kỹ thuật số nhanh chóng và hiệu quả với chi phí điều tra tối thiểu. Trạng thái sẵn sàng như vậy cùng với chính sách bảo mật có thể thực thi giúp tổ chức giảm thiểu rủi ro đe dọa từ nhân viên và chuẩn bị các biện pháp phòng ngừa.

Lợi ích của forensic readiness:

1. Tạo điều kiện thu thập bằng chứng để bảo vệ tổ chức trong trường hợp kiện tụng.
2. Cho phép thu thập bằng chứng toàn diện để răn đe mối đe dọa nội bộ.
3. Cho phép tiến hành điều tra nhanh chóng và hiệu quả với sự gián đoạn tối thiểu đối với hoạt động kinh doanh hàng ngày.
4. Giảm chi phí và thời gian điều tra đồng thời duy trì chuỗi hành trình quan trọng.
5. Đáp ứng yêu cầu tiết lộ dữ liệu theo quy định của pháp luật với chi phí thấp hơn.
6. Mở rộng bảo vệ chống lại các mối đe dọa tội phạm mạng như bảo vệ sở hữu trí tuệ, gian lận hoặc tống tiền.
7. Chứng minh sự thẩm định và quản trị doanh nghiệp tốt.
8. Cải thiện giao diện với cơ quan thực thi pháp luật.
9. Hỗ trợ xử lý kỷ luật nhân viên dựa trên bằng chứng kỹ thuật số.
10. Ngăn chặn kẻ tấn công che giấu dấu vết.
11. Giới hạn chi phí của các yêu cầu pháp lý hoặc quy định về tiết lộ dữ liệu.
12. Giúp ngăn chặn các cuộc tấn công tương tự trong tương lai.

Kế hoạch sẵn sàng điều tra số (Forensic Readiness Planning)

Forensic readiness planning đề cập đến một tập hợp các quy trình cần thiết để đạt được và duy trì forensic readiness. Các bước sau mô tả các hoạt động chính trong kế hoạch sẵn sàng điều tra số:

1. Xác định bằng chứng tiềm năng cần thiết cho một sự cố
2. Xác định nguồn của bằng chứng
3. Xác định chính sách để trích xuất bằng chứng điện tử hợp pháp với sự gián đoạn tối thiểu
4. Thiết lập chính sách xử lý và lưu trữ an toàn bằng chứng thu thập được
5. Xác định xem sự cố có cần điều tra đầy đủ hoặc chính thức hay không
6. Đào tạo nhân viên xử lý sự cố và bảo quản bằng chứng
7. Tạo quy trình đặc biệt để ghi lại thủ tục
8. Thành lập hội đồng tư vấn pháp lý để hướng dẫn quá trình điều tra

Ví dụ thực tế: Triển khai Kế hoạch Sẵn sàng Điều tra số trong một Công ty Công nghệ

Tình huống: Một công ty phần mềm đang phát triển nhanh chóng quyết định triển khai một kế hoạch sẵn sàng điều tra số để bảo vệ tài sản trí tuệ của họ và chuẩn bị cho các sự cố bảo mật tiềm tàng.

Áp dụng Kế hoạch Sẵn sàng Điều tra số:

1. Xác định bằng chứng tiềm năng:
   • Công ty lập danh sách các loại bằng chứng quan trọng, bao gồm mã nguồn, email, nhật ký truy cập hệ thống và dữ liệu kiểm soát phiên bản.
2. Xác định nguồn bằng chứng:
   • Họ map ra vị trí của tất cả các máy chủ, hệ thống kiểm soát phiên bản và cơ sở dữ liệu chứa thông tin quan trọng.
3. Chính sách trích xuất bằng chứng:
   • Phát triển quy trình để thu thập bằng chứng kỹ thuật số mà không làm gián đoạn hoạt động kinh doanh, bao gồm việc sử dụng các công cụ thu thập từ xa.
4. Xử lý và lưu trữ bằng chứng:
   • Thiết lập một phòng bảo mật để lưu trữ bằng chứng vật lý và một hệ thống lưu trữ an toàn cho bằng chứng kỹ thuật số.
5. Đánh giá mức độ nghiêm trọng của sự cố:
   • Tạo một ma trận quyết định để xác định khi nào cần tiến hành điều tra đầy đủ.
6. Đào tạo nhân viên:
   • Tổ chức các buổi đào tạo định kỳ cho nhóm IT và bảo mật về thu thập và xử lý bằng chứng kỹ thuật số.
7. Quy trình ghi lại:
   • Triển khai một hệ thống quản lý sự cố để ghi lại tất cả các bước trong quá trình điều tra.
8. Hội đồng tư vấn pháp lý:
   • Thành lập một nhóm gồm luật sư nội bộ và chuyên gia pháp lý bên ngoài để tư vấn về các vấn đề pháp lý.

Kết quả:

• Công ty có khả năng phản ứng nhanh chóng và hiệu quả với các sự cố bảo mật.
• Bằng chứng kỹ thuật số được thu thập và lưu trữ một cách an toàn, duy trì tính chấp nhận được về mặt pháp lý.
• Nhân viên được đào tạo tốt để xử lý các tình huống khẩn cấp về bảo mật.
• Quy trình rõ ràng giúp giảm thiểu sự nhầm lẫn và lỗi trong quá trình điều tra.
• Công ty được chuẩn bị tốt hơn cho các thách thức pháp lý tiềm tàng liên quan đến sở hữu trí tuệ và bảo mật dữ liệu.

Ví dụ này minh họa cách một kế hoạch sẵn sàng điều tra số có thể được triển khai trong một công ty công nghệ, chuẩn bị cho họ xử lý hiệu quả các sự cố bảo mật và duy trì tính toàn vẹn của bằng chứng kỹ thuật số.

Computer Forensics như một phần của Incident Response Plan

Incident response là quá trình phát triển chiến lược để giải quyết sự xuất hiện của bất kỳ vi phạm bảo mật nào trong hệ thống hoặc mạng. Nó bao gồm việc xây dựng chính sách và mục tiêu bảo mật, thành lập incident response team, phân tích các mối đe dọa, thiết lập các phương pháp phát hiện vi phạm, và chuẩn bị để chống lại các mối đe dọa và giảm thiểu thiệt hại trong trường hợp vi phạm bảo mật. Các tổ chức tạo incident response plan để đạt được các mục tiêu như:

• Phát triển và thực hiện chính sách bảo mật mạnh mẽ.
• Giám sát và phân tích hiệu quả hệ thống và lưu lượng mạng.
• Đảm bảo nhật ký hoạt động và cơ chế ghi nhật ký.
• Xử lý các sự cố theo cách giảm thiểu thiệt hại và giảm thời gian và chi phí phục hồi.
• Xác định con đường để trích xuất bằng chứng một cách hợp pháp và có thể chấp nhận được.
• Xác định vai trò của chuyên gia incident response, như xác định cách vi phạm xảy ra, cách xác định phương pháp vi phạm và cách giảm thiểu vi phạm.

Mặt khác, computer forensics là quy trình pháp lý để tìm kiếm, thu thập, phân tích và trình bày bằng chứng trong tòa án để xác định thủ phạm đứng sau sự cố.

Các tổ chức thường đưa computer forensics vào incident response plan của họ để theo dõi và truy tố thủ phạm của một sự cố.

Nhu cầu về Forensic Investigator

Một forensic investigator, bằng kỹ năng và kinh nghiệm của mình, giúp các tổ chức và cơ quan thực thi pháp luật điều tra và truy tố thủ phạm của tội phạm mạng. Nếu một người không có kinh nghiệm kỹ thuật kiểm tra máy tính liên quan đến tội phạm, điều này gần như chắc chắn sẽ khiến bất kỳ bằng chứng nào được tìm thấy không được chấp nhận trong tòa án.

Một forensic investigator thực hiện các nhiệm vụ sau:

• Đánh giá thiệt hại của một vi phạm bảo mật
• Xác định và khôi phục dữ liệu cần thiết cho cuộc điều tra
• Trích xuất bằng chứng theo cách hợp pháp
• Đảm bảo xử lý bằng chứng đúng cách
• Hướng dẫn nhóm điều tra
• Tạo báo cáo và tài liệu về cuộc điều tra cần thiết để trình bày trong tòa án
• Tái tạo các thiết bị lưu trữ bị hỏng và khám phá thông tin ẩn trên máy tính
• Cập nhật tổ chức về các phương pháp tấn công và kỹ thuật khôi phục dữ liệu khác nhau, và duy trì hồ sơ về chúng (theo một biến thể của phương pháp ghi chép) thường xuyên
• Giải quyết vấn đề trong tòa án và cố gắng thắng vụ kiện bằng cách làm chứng tại tòa

Forensic investigators quen thuộc với các nền tảng Linux, Macintosh và Windows hiện tại. Họ cũng phát triển và duy trì liên hệ với các chuyên gia về máy tính, mạng và điều tra, những người có thể giúp họ vượt qua bất kỳ khó khăn nào trong quá trình điều tra.

Một forensic examiner khác với một forensic investigator. Người trước chỉ phân tích bằng chứng như một phần của quá trình điều tra pháp y, trong khi người sau liên hệ nó với tội phạm.

Ví dụ thực tế: Vai trò của Forensic Investigator trong một vụ tấn công mạng phức tạp

Tình huống: Một ngân hàng lớn phát hiện ra một vi phạm dữ liệu lớn, dẫn đến việc đánh cắp thông tin tài chính của hàng nghìn khách hàng.

Vai trò của Forensic Investigator:

1. Đánh giá ban đầu:
   • Forensic investigator nhanh chóng đánh giá phạm vi của vi phạm, xác định các hệ thống bị ảnh hưởng.
   • Họ ước tính số lượng hồ sơ khách hàng bị đánh cắp và loại thông tin bị xâm phạm.
2. Thu thập bằng chứng:
   • Tạo hình ảnh pháp y của các máy chủ và máy trạm bị ảnh hưởng.
   • Thu thập nhật ký hệ thống, nhật ký ứng dụng và dữ liệu lưu lượng mạng.
3. Phân tích pháp y:
   • Phân tích các hình ảnh pháp y để xác định cách thức xâm nhập của kẻ tấn công.
   • Kiểm tra nhật ký để xác định thời điểm và thời lượng của cuộc tấn công.
   • Phân tích mã độc được sử dụng trong cuộc tấn công.
4. Tái tạo sự cố:
   • Tái tạo chuỗi sự kiện dẫn đến và trong quá trình vi phạm.
   • Xác định các lỗ hổng bảo mật đã bị khai thác.
5. Truy tìm nguồn gốc:
   • Sử dụng dữ liệu mạng để truy tìm nguồn gốc của cuộc tấn công.
   • Xác định bất kỳ điểm trung gian nào được sử dụng để che giấu danh tính của kẻ tấn công.
6. Báo cáo và tài liệu:
   • Chuẩn bị một báo cáo chi tiết về phát hiện cho ban quản lý ngân hàng và cơ quan thực thi pháp luật.
   • Tài liệu hóa tất cả các bước được thực hiện trong quá trình điều tra.
7. Hỗ trợ pháp lý:
   • Cung cấp chuyên môn cho nhóm pháp lý của ngân hàng.
   • Chuẩn bị bằng chứng theo cách có thể chấp nhận được trong tòa án.
8. Khuyến nghị khắc phục:
   • Đề xuất các biện pháp để ngăn chặn các cuộc tấn công tương tự trong tương lai.
   • Hỗ trợ trong việc tăng cường các biện pháp kiểm soát bảo mật.
9. Làm chứng tại tòa:
   • Nếu cần, làm chứng tại tòa về phát hiện của họ.
   • Giải thích các khía cạnh kỹ thuật của cuộc tấn công cho bồi thẩm đoàn.

Kết quả:

• Ngân hàng có thể hiểu đầy đủ về phạm vi và phương pháp của cuộc tấn công.
• Bằng chứng được thu thập và phân tích theo cách duy trì tính chấp nhận được về mặt pháp lý.
• Các lỗ hổng bảo mật được xác định và khắc phục.
• Cơ quan thực thi pháp luật có thông tin cần thiết để theo đuổi kẻ tấn công.
• Ngân hàng được trang bị tốt hơn để ngăn chặn và phát hiện các cuộc tấn công trong tương lai.

Ví dụ này minh họa phạm vi rộng của trách nhiệm của một forensic investigator và tầm quan trọng của vai trò của họ trong việc giải quyết và ngăn chặn tội phạm mạng.

Vai trò và Trách nhiệm của Forensic Investigator

Một forensic investigator thực hiện các nhiệm vụ sau:

1. Xác định mức độ thiệt hại gây ra trong quá trình phạm tội
2. Khôi phục dữ liệu có giá trị điều tra từ các máy tính liên quan đến tội phạm
3. Thu thập bằng chứng theo cách hợp pháp
4. Đảm bảo rằng bằng chứng không bị hư hại dưới bất kỳ hình thức nào
5. Tạo bản sao của bằng chứng gốc mà không làm thay đổi nó để duy trì tính toàn vẹn của bằng chứng gốc
6. Hướng dẫn các cán bộ thực hiện cuộc điều tra. Đôi khi, forensic investigator cần phải đưa ra bằng chứng, mô tả quy trình liên quan đến việc phát hiện nó.
7. Tái tạo các đĩa hoặc thiết bị lưu trữ khác bị hỏng, và khám phá thông tin ẩn trên máy tính
8. Phân tích dữ liệu bằng chứng tìm thấy
9. Chuẩn bị báo cáo phân tích
10. Cập nhật tổ chức về các phương pháp tấn công và kỹ thuật khôi phục dữ liệu khác nhau, và duy trì hồ sơ về chúng (theo một biến thể của phương pháp ghi chép) thường xuyên
11. Giải quyết vấn đề trong tòa án và cố gắng thắng vụ kiện bằng cách làm chứng tại tòa

Điều gì tạo nên một Forensic Investigator giỏi?

1. Kỹ năng phỏng vấn để thu thập nhiều thông tin về vụ án từ khách hàng hoặc nạn nhân, nhân chứng và nghi phạm
2. Kỹ năng nghiên cứu để biết về lý lịch và hoạt động liên quan đến khách hàng hoặc nạn nhân, nhân chứng và nghi phạm
3. Duy trì độ chính xác hoàn hảo của các bài kiểm tra được thực hiện và hồ sơ của chúng
4. Kiên nhẫn và sẵn sàng làm việc nhiều giờ
5. Kỹ năng viết xuất sắc để mô tả chi tiết phát hiện trong báo cáo
6. Kỹ năng phân tích mạnh mẽ để tìm bằng chứng và liên kết nó với nghi phạm
7. Kỹ năng giao tiếp xuất sắc để giải thích phát hiện của họ cho khán giả
8. Cập nhật với các phương pháp và công nghệ pháp y mới
9. Thành thạo nhiều hơn một nền tảng máy tính (bao gồm Windows, Macintosh và Linux)
10. Kiến thức về các công nghệ, phần cứng và phần mềm khác nhau
11. Phát triển và duy trì liên hệ với các chuyên gia về máy tính, mạng và điều tra
12. Trung thực, đạo đức và tuân thủ pháp luật
13. Kiến thức về luật pháp liên quan đến vụ án
14. Khả năng kiểm soát cảm xúc khi đối phó với các vấn đề gây ra sự tức giận
15. Chuyên môn đa ngành liên quan đến cả vụ án hình sự và dân sự

Computer Forensics: Vấn đề Pháp lý

Bằng chứng số có tính chất dễ vỡ, điều này làm cho nó dễ bị thay đổi trong quá trình điều tra, do đó làm cho nó không được chấp nhận trong tòa án. Việc xử lý và bảo vệ bằng chứng số là một nhiệm vụ khó khăn vì nó dễ bay hơi và xử lý không đúng cách có thể phá hủy nó. Các forensic investigator cũng phải đối mặt với nhiều thách thức khi bảo quản bằng chứng số. Ví dụ, một kẻ xâm nhập có thể thay đổi dữ liệu hệ thống và do đó các investigator nên thu thập nó trước tiên. Bằng chứng số mang tính chất tình huống, điều này làm cho việc truy tìm hoạt động của hệ thống trở nên khó khăn đối với forensic investigator.

Tội phạm mạng có tính chất từ xa, có nghĩa là một kẻ tấn công ở một quốc gia có thể vi phạm bảo mật của một hệ thống ở một quốc gia khác. Điều này làm cho việc thu thập bằng chứng và truy tố thủ phạm trở nên khó khăn. Ngoài ra, hệ thống pháp luật khác nhau giữa các khu vực tài phán và có các quy tắc khác nhau để thu thập, bảo quản, điều tra và trình bày bằng chứng số trong tòa án. Điều này làm phức tạp nhiệm vụ của investigator.

Trong bối cảnh này, các investigator nên đọc và hiểu các quy tắc về điều tra, phân tích, trình bày và truy tố áp dụng ở các khu vực khác nhau liên quan đến một vụ án. Mỗi hệ thống pháp luật có cách tiếp cận hơi khác nhau đối với các vấn đề liên quan đến tính xác thực, độ tin cậy và tính đầy đủ. Do đó, các investigator nên tuân thủ nghiêm ngặt các quy tắc của khu vực để truy tố tốt hơn. Những thay đổi công nghệ nhanh chóng cũng đã gây ra một số vấn đề cho các investigator. Do đó, các investigator cần phải thích ứng và thay đổi cách tiếp cận của họ phù hợp với những thay đổi công nghệ như vậy; đặc biệt là vì các hệ thống pháp luật có thể không giải quyết những tiến bộ công nghệ này. Ngược lại, các công nghệ thay đổi cũng làm cho việc đào tạo các investigator để xử lý tất cả những thay đổi như vậy trở nên khó khăn.

Computer Forensics: Vấn đề Quyền riêng tư

Khi truy xuất bằng chứng từ một thiết bị điện tử cụ thể, các investigator phải thận trọng để tránh bị buộc tội tìm kiếm và thu giữ bất hợp pháp, nghĩa là họ cần tuân thủ Tu chính án thứ Tư của Hiến pháp Hoa Kỳ.

Khi xử lý bằng chứng liên quan đến việc sử dụng Internet, các investigator phải bảo vệ tính ẩn danh của những người dùng khác trong khi xác định danh tính của một số ít người liên quan đến các hoạt động bất hợp pháp.

Tu chính án thứ Tư quy định rằng các đại diện chính phủ không được tìm kiếm hoặc thu giữ các khu vực hoặc đồ vật mà một người có quyền mong đợi hợp lý về quyền riêng tư, mà không có lệnh khám xét.

Lưu ý: Các xâm phạm riêng tư không hành động dưới danh nghĩa của chính quyền được miễn trừ khỏi Tu chính án thứ Tư.

Quy tắc Đạo đức

Một forensic investigator nên:

1. Thực hiện điều tra dựa trên các thủ tục tiêu chuẩn được biết đến rộng rãi
2. Thực hiện các nhiệm vụ được giao với cam kết và sự cẩn thận cao
3. Hành động với các nguyên tắc đạo đức và đạo đức cao nhất
4. Kiểm tra bằng chứng cẩn thận trong phạm vi của thỏa thuận
5. Đảm bảo tính toàn vẹn của bằng chứng trong suốt quá trình điều tra
6. Hành động phù hợp với các quy chế liên bang, quy chế tiểu bang, và luật và chính sách địa phương
7. Làm chứng trung thực trước bất kỳ hội đồng, tòa án hoặc thủ tục xét xử nào

Một forensic investigator không nên:

1. Từ chối bất kỳ bằng chứng nào vì điều đó có thể gây ra thất bại trong vụ án
2. Tiết lộ các vấn đề bảo mật mà không có sự cho phép được ủy quyền
3. Vượt quá nhiệm vụ ngoài kỹ năng của họ
4. Thực hiện các hành động dẫn đến xung đột lợi ích đáng kể
5. Trình bày sai về đào tạo, chứng chỉ hoặc tư cách thành viên hiệp hội
6. Đưa ra ý kiến cá nhân hoặc thiên vị
7. Giữ lại bất kỳ bằng chứng nào liên quan đến vụ án

Truy cập Nguồn Tài liệu Computer Forensics

1. Tham gia các nhóm thảo luận và hiệp hội khác nhau để truy cập tài nguyên liên quan đến computer forensics
2. Các hiệp hội cung cấp thông tin về computer forensics:
   • Computer Technology Investigators Network (http://www.ctin.org)
   • High Technology Crime Investigation Association (https://www.htcia.org)
3. Tham gia mạng lưới các chuyên gia computer forensics và các chuyên gia khác
4. Các dịch vụ tin tức dành riêng cho computer forensics cũng có thể là nguồn tài nguyên mạnh mẽ
5. Các nguồn tài liệu khác:
   • Tạp chí của các forensic investigator
   • Các nghiên cứu tình huống thực tế

Tóm tắt Module

• Computer forensics đề cập đến một tập hợp các thủ tục và kỹ thuật có phương pháp để xác định, thu thập, bảo quản, trích xuất, diễn giải, ghi chép và trình bày bằng chứng từ thiết bị máy tính có thể chấp nhận được trong tòa án
• Tội phạm mạng được định nghĩa là bất kỳ hành vi bất hợp pháp nào liên quan đến thiết bị máy tính, mạng, hệ thống hoặc ứng dụng của nó. Nó được phân loại thành hai loại dựa trên đường tấn công: tấn công nội bộ và tấn công bên ngoài
• Tội phạm máy tính đặt ra những thách thức mới cho các investigator do tốc độ, tính ẩn danh, tính chất dễ bay hơi của bằng chứng, nguồn gốc toàn cầu và sự khác biệt về luật pháp, và hiểu biết pháp lý hạn chế
• Các cách tiếp cận để quản lý điều tra tội phạm mạng bao gồm: dân sự, hình sự và hành chính
• Bằng chứng số là “bất kỳ thông tin nào có giá trị chứng minh được lưu trữ hoặc truyền tải dưới dạng số”. Nó có hai loại: dễ bay hơi và không dễ bay hơi
• Forensic readiness đề cập đến khả năng của một tổ chức trong việc sử dụng tối ưu bằng chứng số trong thời gian hạn chế và với chi phí điều tra tối thiểu
• Các tổ chức thường đưa computer forensics vào incident response plan của họ để theo dõi và truy tố thủ phạm của một sự cố

Trong module này, bạn đã học về computer forensics, các quy trình và kỹ thuật của nó, các thiết bị liên quan, thách thức đối với các investigator, các loại tội phạm mạng khác nhau, bằng chứng số và các loại của nó, và quá trình giữ cho một cá nhân hoặc tổ chức sẵn sàng về mặt pháp y. Những chủ đề này sẽ giúp bạn hiểu quá trình điều tra pháp y và các hoạt động khác có thể ảnh hưởng đến quá trình này.