ZEKASTRA

SOP-10 · Sonuçlara neden güvenilebileceği

Laboratuvar kalitesi ve araç doğrulama

Prosedürlerin arkasındaki kalite sistemi: araç doğrulama, çift araç kontrolü, yeterlilik kayıtları ve uygunsuzluk yönetimi; ISO/IEC 17025 mantığında.

01Amaç ve kapsam

Araçların bu laboratuvarın ekipmanında doğru sonuç ürettiğini, kişilerin imzaladıkları iş için yeterli olduğunu ve hataların gizlenmek yerine bulunup düzeltildiğini gösterebilmek.

Bu sitedeki prosedürlerde kullanılan tüm araçlar, ekipman ve yöntemler ile inceleme yapan ya da inceleyen tüm kişiler.

02Ön koşullar

  • İçeriği ve hash değerleri bilinen referans veri setleri (örneğin NIST CFReDS imajları ve bu sitenin sentetik örnekleri).
  • Sürümleri, donanım yazılımı ve doğrulama durumuyla araç ve ekipman kaydı.
  • Tanımlı roller: inceleyici, gözden geçiren, kalite sorumlusu.

03Adımlar

  1. Her araç işlevini ilk kullanımdan önce doğrulayın

    İşlevi tanımlayın (örneğin: imaj alma, hash hesaplama, zaman damgası çözme, SQLite ayrıştırma), bilinen sonuçlu bir referans setine karşı çalıştırın, beklenen ve gözlenen değerleri kaydedin ve işlevi kullanım için kabul ya da reddedin. Sürüm değişikliklerinden sonra yeniden doğrulayın.

    KayıtAraç işlevi ve sürümü başına doğrulama kaydı.

  2. Kritik sonuçları ikinci bir yöntemle doğrulayın

    Bir sonuç taşıyan bulgular (çözülmüş zaman damgası, kurtarılmış kayıt, hash eşleşmesi) farklı bir araçla ya da ham baytlardan elle çözümlemeyle yeniden üretilir ve uyuşma kaydedilir.

    Kayıtİnceleme günlüğünde çift doğrulama satırları.

  3. Ekipmanı kontrol edin

    Yazma engelleyiciler bilinen bir yazma denemesiyle düzenli aralıklarla test edilir; iş istasyonları işletim sistemi yapısı ve yüklü araçlarla belgelenir; referans saatler bir zaman kaynağına karşı kontrol edilir ve sapma kaydedilir.

    KayıtEkipman kaydı ve test günlüğü.

  4. Yeterlilik kayıtlarını tutun

    Her inceleyici için: eğitim, referans vakalarda yeterlilik testleri, yapmaya ve gözden geçirmeye yetkili oldukları prosedürler ve son değerlendirme tarihi.

    KayıtKişi başına yeterlilik kaydı.

  5. Uygunsuzlukları ele alın

    Prosedürden her sapma, araç hatası ya da inceleme bulgusu kaydedilir; geçmiş sonuçlara etkisi değerlendirilir, düzeltici eylem yapılır ve sonuçların yayınlandığı durumlarda etkilenen talep edenler bilgilendirilir.

    KayıtUygunsuzluk kaydı.

  6. Kayıtları saklayın ve koruyun

    Notlar, koruma kayıtları, doğrulama kayıtları ve raporlar; konu ve hukukun gerektirdiği süre boyunca erişim kontrolü ve yedeklemeyle saklanır, belgelenmiş bir kararla imha edilir.

    KayıtSaklama planı ve imha günlüğü.

04Üretilen kayıtlar

  • Araç doğrulama kayıtları
  • Ekipman kaydı ve test günlüğü
  • Yeterlilik kayıtları
  • Uygunsuzluk kaydı
  • Saklama planı

05Tuzaklar

  • Bir işletim sistemi yapısında ya da donanım yazılımında doğrulanan araç bir sonrakinde doğrulanmış değildir; sürüm değişiklikleri soruyu yeniden açar.
  • Satıcı test raporları satıcının ortamını anlatır, bu laboratuvarınkini değil.
  • Aynı ayrıştırma kütüphanesini paylaşan iki araçla çift doğrulama bir doğrulamadır, iki değil.
  • Sessizce düzeltilen bir uygunsuzluğun önceki raporlara etkisinin değerlendirildiği gösterilemez.

06Formlar

07Standartlar

  1. ISO/IEC 17025:2017 — General requirements for the competence of testing and calibration laboratories
  2. NIST — Computer Forensics Tool Testing Program (CFTT)
  3. NIST — Computer Forensic Reference Data Sets (CFReDS)
  4. ISO/IEC 27041:2015 — Assuring suitability and adequacy of incident investigative method
  5. ENFSI — Best practice manual for the forensic examination of digital technology