01Amaç ve kapsam
Bir mobil cihazdan, eksiksizliği bilinen ve belirtilen bir biçimde, cihazın öncesi ve sonrası durumu belgelenerek veri elde etmek.
Akıllı telefonlar, tabletler, özellikli telefonlar, SIM kartlar ve hafıza kartları ile bu cihazların bilgisayar yedekleri. İnceleme laboratuvarının işlemlerini kapsar; güvenlik atlatma tekniklerini anlatmaz.
02Ön koşullar
- Cihazı ve çıkarılacak veri kategorilerini kapsayan yetki.
- El koymadan beri sürdürülen ve belgelenen ağ yalıtımı.
- Mümkün olduğunda cihaz modeli ve işletim sistemi sürümü için doğrulanmış çıkarım araçları (SOP-10).
03Adımlar
Cihaz durumunu kaydedin
Cihazı ve ekranı fotoğraflayın. Model, görünüyorsa işletim sistemi sürümü, IMEI, seri numarası, SIM/ICCID, pil düzeyi, kilit durumu, yalıtım yöntemi ve referans saate göre cihazın gösterdiği zamanı kaydedin.
KayıtCihaz durumu bölümü; saat sapması.
Yalıtımı baştan sona sürdürün
Korumalı bir ortamda çalışın ya da telsizler kapalı uçak modunu koruyun. Cihazın bir iş istasyonuna bağlanması gerekiyorsa iş istasyonu çevrimdışıdır. Yalıtımdaki her değişiklik zaman ve gerekçeyle günlüklenir.
KayıtYalıtım günlüğü.
SIM ve hafıza kartlarını ayrı ele alın
Çıkarın, fotoğraflayın ve ICCID'yi kaydedin; hafıza kartlarını SOP-04 ile imajlayın. SIM'i özel bir okuyucuyla okuyun; PIN deneme sayısını aşmayın.
KayıtKart tanımlayıcıları ve ayrı koruma satırları.
Çıkarım türünü seçin ve nedenini kaydedin
Eksiksizlik sırasıyla mantıksal, dosya sistemi, tam dosya sistemi ya da fiziksel. Aracın bu cihaz için desteklediği ve yetkinin izin verdiği en eksiksiz türü seçin; türü, aracı, sürümünü ve daha az eksiksiz bir tür kullanıldıysa nedenini kaydedin.
KayıtÇıkarım türü, araç, sürüm, gerekçe.
Çıkarımı yapın ve çıktının hash değerini alın
Başlangıç ve bitiş zamanlarını (UTC), aracın bildirdiği uyarı ve hataları, arşiv adını, boyutunu ve hash değerini kaydedin. Araç hash değerli bir iç dosya listesi üretiyorsa arşivle birlikte saklayın.
KayıtÇıkarım kaydı; arşiv hash değeri.
Sonraki cihaz durumunu kaydedin
Ekranı yeniden fotoğraflayın; çıkarımın yol açtığı her değişikliği (kurulan ajan, değişen ayarlar) not edin ki sonradan kullanıcı etkinliğiyle karıştırılmasın.
KayıtÇıkarım sonrası durum ve değişiklikler.
Sınırları belirtin
Bu çıkarım türünün bu platform için neleri içermediğini kayda yazın: örneğin silinmiş kayıtlar, mantıksal çıkarıma dahil olmayan sistem veri tabanları, uygulamanın kendi ayarlarıyla dışlanan uygulama verisi.
KayıtSınırlar beyanı.
04Üretilen kayıtlar
- Fotoğraflar ve saat sapmasıyla önce ve sonra cihaz durumu
- Yalıtım günlüğü
- Tür, araç, sürüm, zamanlar, hatalar ve arşiv hash değeriyle çıkarım kaydı
- Sınırlar beyanı
05Tuzaklar
- Birkaç saniyeliğine ağa yeniden bağlanan bir cihaz, kanıtı değiştiren uzaktan silme ya da eşitleme alabilir.
- Mantıksal çıkarımın boş sonucunu 'mesaj yok' olarak raporlamak yanlış negatiftir; tür belirtilmelidir.
- Çıkarım ajanı ve ayar değişiklikleri sonraki kullanım kayıtlarında görünür.
- Araç ayrıştırıcıları uygulama sürümlerinin gerisinde kalır; çekişmeli her kayıt için ayrıştırılmış sonuçları ham veri tabanına karşı doğrulayın.