Cyfrowe miejsce zbrodni – co faktycznie podlega analizie
Od odcisków palców do logów systemowych
W klasycznej kryminalistyce punkt ciężkości przez lata spoczywał na odciskach palców, śladach biologicznych, balistyce czy analizie materiałów wybuchowych. Dziś w wielu sprawach równorzędną, a nierzadko kluczową rolę odgrywa analiza śladów cyfrowych – utrwalonych w logach, pamięciach masowych i komunikatorach danych, które opisują zachowania ludzi i urządzeń. Nawet prosta sprawa o kradzież może mieć swój cyfrowy wątek: logowanie na konto bankowe, wymiana wiadomości, zdjęcie łupu publikowane w mediach społecznościowych.
Cyfrowe miejsce zbrodni nie jest ograniczone do jednego pomieszczenia. Może obejmować kilka mieszkań, serwerownię, telefon ofiary, konto w chmurze, system monitoringu osiedla i logi operatora telekomunikacyjnego. Śledczy przestaje być tylko obserwatorem fizycznej sceny zdarzenia, a staje się analizatorem sieci powiązań, w której urządzenia nieustannie się komunikują i zostawiają ślady.
W praktyce oznacza to, że oględziny tradycyjnego miejsca zdarzenia coraz rzadziej kończą się zamknięciem drzwi mieszkania. Często dopiero po identyfikacji nośników, kont i usług cyfrowych ujawnia się pełny obraz zdarzenia. Wtedy pojawia się pytanie: co wiemy z klasycznych oględzin i czego szukamy w warstwie cyfrowej, aby tę wiedzę uzupełnić lub zweryfikować.
Rodzaje śladów cyfrowych w praktyce śledczej
W informatyce śledczej wyróżnia się kilka głównych kategorii śladów, które razem tworzą cyfrowy obraz zdarzenia. Każda z nich wymaga nieco innych narzędzi i procedur.
- Pliki użytkownika – dokumenty, zdjęcia, nagrania audio i wideo, archiwa, projekty graficzne. Często zawierają bezpośredni materiał dowodowy: treści gróźb, instrukcje, notatki.
- Metadane plików – daty utworzenia i modyfikacji, autor dokumentu, użyte oprogramowanie, geolokalizacja zdjęć. Metadane pozwalają ustalić chronologię i powiązania między działaniami.
- Logi systemowe i aplikacyjne – dzienniki zdarzeń systemu operacyjnego, logi serwerów, routerów, firewalli, systemów CCTV. To one rejestrują logowania, błędy, próby włamań, restart urządzeń.
- Historia komunikacji – e-maile, SMS-y, komunikatory internetowe, wiadomości w mediach społecznościowych. Pozwalają odtworzyć kontekst relacji, ustaleń, gróźb, zmów.
- Dane z chmury – konta poczty webowej, dyski sieciowe, backupy, aplikacje SaaS. Często to jedyne miejsce, w którym zachowały się usunięte lokalnie pliki.
- Ślady z urządzeń IoT – inteligentne kamery, głośniki, zegarki, systemy alarmowe, termostaty. Niekiedy zapisują godzinę ruchu w pomieszczeniu, otwarcia drzwi, a nawet fragmenty rozmów.
Wszystkie te źródła razem budują przekrój czasowy zdarzeń. Dopiero ich korelacja – np. logów z routera, historii przeglądania, danych z aplikacji bankowej i nagrań monitoringu – pozwala odpowiedzieć na pytanie: co realnie się wydarzyło, w jakiej kolejności i kto mógł być za to odpowiedzialny.
Klasyczne miejsce zbrodni a rozszerzone środowisko cyfrowe
Tradycyjne miejsce zbrodni to fizyczna scena zdarzenia: mieszkanie, samochód, teren wokół. W cyfrowym ujęciu dochodzi koncepcja rozszerzonego środowiska zdarzenia, obejmującego wszystkie systemy i usługi, które miały z nim związek. Fizyczny laptop w pokoju nastolatka może być jedynie bramą do chmury w innym kraju, serwera gry, konta na portalu społecznościowym i smartfona kolegi.
Granica miejsca zbrodni ulega więc rozmyciu. Przestępstwo rozpoczyna się na klawiaturze komputera, kontynuowane jest na serwerze usługodawcy hostingowego, a skutki pojawiają się w bankowości internetowej ofiary. Z punktu widzenia śledczego istotne jest, by te elementy traktować jako jedno środowisko dowodowe, choć rozproszone geograficznie i prawnie.
Tu pojawia się drugie pytanie kontrolne: czego jeszcze nie wiemy o cyfrowym tle zdarzenia, bo nie zidentyfikowaliśmy wszystkich źródeł danych? Dopiero pełna mapa systemów, kont i urządzeń pozwala zaplanować dalsze czynności i wnioski o dane do zagranicznych podmiotów czy operatorów telekomunikacyjnych.
Przykład: włamanie do mieszkania i logowanie do banku
Prosty przykład ilustruje dwa poziomy miejsca zdarzenia. Dochodzi do włamania do mieszkania. Znika gotówka, biżuteria, laptop i telefon. Klasyczne oględziny obejmują ślady włamania, odciski, DNA, ślady obuwia. W tym samym czasie z konta właściciela znikają środki, a w historii banku pojawia się logowanie z urządzenia, które wcześniej nie było używane.
Cyfrowe miejsce zbrodni obejmuje więc:
- skradziony laptop i telefon – jeśli zostaną odnalezione,
- logi banku – adres IP, urządzenie, lokalizacja, czas,
- logi routera Wi‑Fi w mieszkaniu – kto i kiedy się łączył,
- logi operatora komórkowego – lokalizacje BTS, sesje danych,
- potencjalne konta w chmurze, na które sprawca mógł przenieść dane.
Bez wejścia w warstwę cyfrową dochodzenie zatrzymałoby się na śladach fizycznych. Z kolei wyłącznie analiza logów bez osadzenia ich w realnym czasie i przestrzeni może dać fałszywy obraz. Nowoczesna informatyka śledcza polega na łączeniu obu perspektyw w spójną całość.
Podstawy prawne i organizacyjne informatyki śledczej
Ramy prawne w Polsce i standardy międzynarodowe
Analiza dowodów cyfrowych odbywa się w ścisłym reżimie prawnym. W Polsce podstawą są przepisy Kodeksu postępowania karnego (przeszukanie, zatrzymanie rzeczy, oględziny, dowód z opinii biegłego), przepisy dotyczące ochrony danych osobowych oraz ustawy sektorowe (np. dotyczące usług telekomunikacyjnych czy świadczenia usług drogą elektroniczną). W sprawach z elementem międzynarodowym dochodzą regulacje dotyczące pomocy prawnej i europejskich nakazów dochodzeniowych.
Równolegle wykształciły się standardy techniczne, które wyznaczają dobre praktyki. Jako punkt odniesienia często pojawiają się wytyczne NIST (National Institute of Standards and Technology) oraz rekomendacje ENFSI (European Network of Forensic Science Institutes). Nie są to źródła prawa w ścisłym sensie, ale stanowią wzorzec należytej staranności. Biegły, który potrafi wykazać, że pracował zgodnie z uznanymi standardami, zyskuje większą wiarygodność przed sądem.
Istotne jest też rozróżnienie między przepisami wprost obowiązującymi a zaleceniami organizacyjnymi poszczególnych służb. Procedury wewnętrzne policji, laboratoriów kryminalistycznych czy prokuratur odzwierciedlają prawo, ale także je doprecyzowują. Część z nich ma charakter wewnętrzny, jednak w praktyce przekłada się na sposób zabezpieczania i analizy śladów cyfrowych.
Legalność pozyskiwania i przetwarzania danych cyfrowych
Każde zajęcie nośnika, odczytanie danych z telefonu czy wgląd w logi operatora wymaga podstawy prawnej. Kluczowym zagadnieniem jest zakres uprawnień organów ścigania oraz proporcjonalność ingerencji w prywatność. Analiza śladów cyfrowych niemal zawsze dotyka danych osobowych – nie tylko podejrzanego, ale też osób postronnych, z którymi komunikował się użytkownik urządzenia.
Na etapie postępowania przygotowawczego organ prowadzący postępowanie określa przedmiot dowodu: czego szuka, w jakim okresie, na jakich nośnikach. Zbyt szeroko sformułowane zlecenie może prowadzić do zarzutu „łowienia na ślepo”, zbyt wąskie – do utraty istotnych informacji. Stąd rosnąca rola dialogu między prokuratorem a biegłym z zakresu informatyki śledczej już na początku sprawy.
Spornym obszarem pozostaje dostęp do danych przechowywanych w chmurze na serwerach poza granicami kraju. Co jest faktem? Istnieją procedury międzynarodowej pomocy prawnej, a część dostawców udostępnia dane na podstawie krajowych nakazów. Czego nie wiemy z góry? Jak szybko i w jakim zakresie podmiot zagraniczny zareaguje oraz czy wszystkie dane będą objęte jurysdykcją kraju prowadzącego postępowanie.
Rola biegłego i współpraca między instytucjami
Biegły z zakresu informatyki śledczej pełni szczególną funkcję: tłumaczy techniczny świat danych na język zrozumiały dla organów procesowych. Jego zadaniem nie jest samo „odczytanie telefonu”, lecz udzielenie odpowiedzi na pytania: czy dane techniczne potwierdzają dany scenariusz zdarzeń, czy ktoś mógł zmanipulować logi, jakie są alternatywne wyjaśnienia obecności pliku w systemie.
Status procesowy biegłego wiąże się z odpowiedzialnością karną za fałszywą opinię. W praktyce oznacza to konieczność rzetelnej dokumentacji wszystkich czynności, jawnego opisu użytych narzędzi i ich wersji, a także przedstawienia ewentualnych ograniczeń analizy. Biegły działa na zlecenie organu, jednak jego rola nie sprowadza się do prostego wykonania polecenia – powinien także wskazywać, jeśli pytania są nieprecyzyjne lub nierealne technicznie.
W wielu sprawach kluczowa staje się współpraca między policją, prokuraturą, zespołami IT instytucji pokrzywdzonych, administratorami systemów i prywatnymi ekspertami. Administrator zna topologię sieci, konfigurację firewalli i architekturę backupów, biegły – narzędzia analizy i wymagania procesowe. Dopiero połączenie tych perspektyw pozwala skutecznie przeprowadzić analizę, od zabezpieczenia logów po interpretację korelacji zdarzeń.
Zabezpieczenie miejsca zbrodni w świecie cyfrowym – pierwsze działania
Pierwsza godzina: co dzieje się zanim przyjedzie specjalista
Pierwsi na miejscu zdarzenia rzadko są eksperci od informatyki śledczej. Najczęściej to patrol, dochodzeniowiec, funkcjonariusze zabezpieczający obszar. Ich decyzje podejmowane w pierwszych minutach mogą przesądzić o tym, czy dane cyfrowe zostaną zachowane, czy bezpowrotnie utracone.
Priorytet jest zawsze ten sam: bezpieczeństwo ludzi i zabezpieczenie miejsca przed zniszczeniem śladów. Równolegle jednak warto zidentyfikować widoczne urządzenia elektroniczne: laptopy, telefony, tablety, dyski zewnętrzne, routery, rejestratory monitoringu, systemy alarmowe. Informacja „na wejściu” dla późniejszego biegłego ma znaczenie: które urządzenia działały, jakie były podłączone kable, co wyświetlał ekran.
W tej fazie krytyczna jest powściągliwość. Dotykanie klawiatury, „sprawdzanie, czy działa”, otwieranie aplikacji, wkładanie znalezionego pendrive’a do służbowego laptopa – to typowe błędy, które skutkują nadpisaniem danych i zmianą artefaktów czasowych. Nie ma obowiązku natychmiastowego „zobaczenia, co tam jest”. Obowiązek jest inny: zatrzymać stan zastany tak wiernie, jak to możliwe do czasu przyjazdu specjalisty.
Identyfikacja potencjalnych nośników i urządzeń sieciowych
Współczesne mieszkanie czy biuro to gęsta sieć urządzeń cyfrowych. Poza oczywistymi – komputer, telefon – w tle działają sprzęty, które również gromadzą dane: router, drukarka sieciowa, dekoder telewizyjny, inteligentne głośniki, kamery, zegarki, system alarmowy. Każde z nich potencjalnie stanowi nośnik śladów.
Praktyczna checklista dla funkcjonariusza, który nie jest informatykiem, ale musi rozpoznać cyfrowe środowisko zdarzenia, może wyglądać następująco:
- spójrz, gdzie znajdują się typowe urządzenia (biurko, stolik RTV, szafki, torby),
- zwróć uwagę na świecące diody (router, modem, rejestrator),
- zanotuj liczbę komputerów, telefonów, tabletów, dysków zewnętrznych, pendrive’ów w zasięgu wzroku,
- poszukaj urządzeń z obiektywem (kamery IP, wideodomofon, baby monitor),
- jeśli to możliwe, poproś obecne osoby o wskazanie, z jakich urządzeń na co dzień korzystały.
Tak przygotowana lista pomaga późniejszemu zespołowi określić priorytety: co zabezpieczyć w pierwszej kolejności, co wymaga natychmiastowego odłączenia od sieci, a co może zostać włączone pod nadzorem.
W szerszym ujęciu, podobnie jak w analizie śladów po detonacjach czy biologicznych, cyfrowa forensyka wpisuje się w rozwijający się obszar, o którym można znaleźć więcej o forensyka w szerszym, interdyscyplinarnym kontekście.
Odłączanie urządzeń, zasilanie, sieć – decyzje na miejscu
Kluczową decyzją jest to, czy urządzenie wyłączyć, czy pozostawić włączone. Komputer stacjonarny, który jest zalogowany i pracuje, może zawierać w pamięci RAM istotne dane: odszyfrowane dyski, otwarte komunikatory, bieżące sesje zdalne. Gwałtowne odłączenie zasilania zachowa stan dysku, ale usunie dane ulotne. Z kolei pozostawienie urządzenia włączonego bez kontroli niesie ryzyko zdalnego usunięcia śladów lub aktywacji złośliwego oprogramowania.
W praktyce służby przyjmują różne scenariusze, uzależnione od sytuacji. Jeśli istnieje realna obawa, że ktoś zdalnie ingeruje w system, priorytetem staje się fizyczne odcięcie urządzeń od sieci (wyjęcie kabla, zabezpieczenie routera, odłączenie zasilania modemu GSM). Gdy miejsce jest pod pełną kontrolą, a na komputerze widoczne są szyfrujące aplikacje lub otwarte konta, bardziej racjonalne może być jego „zamrożenie” w obecnym stanie i wezwanie specjalisty z narzędziami do akwizycji pamięci.
Problem pokazuje prosty przykład z praktyki: podczas przeszukania w sprawie o oszustwa gospodarcze funkcjonariusz widzi na ekranie komunikator ze zarchiwizowanymi rozmowami. Wyłączenie komputera zniszczy możliwość zrzutu pamięci RAM, ale odcięcie samego internetu (wyjęcie kabla sieciowego, wyłączenie Wi-Fi w routerze) ograniczy ryzyko zdalnych działań. Dla biegłego później kluczowe stanie się wyjaśnienie sądowi, jakie decyzje podjęto i z jakich powodów.
Dokumentacja stanu zastanego
Zanim ktokolwiek dotknie klawiatury czy odłączy kabel, trzeba udokumentować to, co widać. Fotografie całego pomieszczenia, zbliżenia na biurko, na ekran monitora, na podłączenia przewodów – to później materiał odniesienia. Im prostsze, „technicznymi” oczami zrobione zdjęcia, tym łatwiej będzie odtworzyć konfigurację urządzeń sprzed ingerencji.
Drugim filarem dokumentacji jest opis słowny. W protokole warto odnotować datę i godzinę wejścia na miejsce, stan urządzeń (włączone/wyłączone, uśpione, zablokowane ekranem), widoczne komunikaty (np. okno logowania, komunikat błędu, otwarty program). Jeśli ktoś z obecnych zdążył wcześniej coś zrobić – zamknąć laptop, odpiąć dysk, zrestartować router – ta informacja powinna zostać odnotowana wraz z określeniem, kto, kiedy i na czyje polecenie działał.
W wielu sprawach to właśnie porządną dokumentację, a nie zaawansowane narzędzia, przesądzają o wiarygodności późniejszej analizy. Gdy biegły widzi, jak wyglądało stanowisko pracy i jakie przewody gdzie prowadziły, łatwiej mu zrozumieć np. fragmentaryczne logi pochodzące z kilku serwerów czy rejestratorów.
Komunikacja na linii funkcjonariusz – specjalista
Od pierwszych minut powinna działać przejrzysta ścieżka kontaktu między osobą zabezpieczającą miejsce a specjalistą z zakresu informatyki śledczej. Krótka rozmowa telefoniczna przed podjęciem kluczowych decyzji (wyłączyć, zostawić, odłączyć od sieci) może ograniczyć nieodwracalne błędy. Ekspert nie musi jeszcze widzieć systemu, żeby wskazać bezpieczniejsze warianty postępowania.
Po przyjeździe zespołu technicznego przydaje się przekazanie „ustnego logu zdarzeń”: co zastano, jakie czynności już wykonano, co zmieniono w konfiguracji zasilania i sieci. Dzięki temu biegły nie działa w próżni, tylko zna kontekst, w którym powstały późniejsze ślady – zwłaszcza te związane z czasem (logi z momentu odłączania, ponownego uruchomienia, prób logowania).
Cyfrowe ślady w praktyce procesowej stają się nie tyle dodatkiem do klasycznych dowodów, ile równorzędnym źródłem informacji o przebiegu zdarzeń. Im staranniej zostanie zabezpieczone miejsce z cyfrową infrastrukturą, tym mniej znaków zapytania pojawi się później przed sądem: co wiemy na pewno, czego nie wiemy z powodu ubytków danych i gdzie kończy się technika, a zaczyna interpretacja człowieka.
Łańcuch dowodowy (chain of custody) – jak nie utracić wiarygodności śladu
Od znalezienia do sali rozpraw – ciągłość pod kontrolą
Łańcuch dowodowy to nic innego jak pełna, możliwa do zweryfikowania historia życia danego nośnika: kto go znalazł, kto zapakował, kto przewiózł, kto otwierał opakowanie i w jakim celu. W świecie danych cyfrowych ten porządek jest szczególnie istotny, bo ingerencja w system może nastąpić bez widocznych śladów fizycznych.
W praktyce łańcuch dowodowy składa się z kilku powtarzalnych elementów:
- identyfikacja przedmiotu (opis urządzenia, numer seryjny, oznaczenia producenta),
- oznaczenie procesowe (sygnatura sprawy, unikalny numer dowodowy),
- pakowanie i zabezpieczenie (opakowanie, plomby, sposób zamknięcia),
- ewidencja przekazań (kto, komu, kiedy, w jakim celu przekazał nośnik),
- rejestr wszystkich czynności analitycznych (jakie narzędzia, jakie operacje, jakie daty).
Gdy w sądzie pada pytanie: „co wiemy o tym dysku?”, odpowiedzią nie jest tylko opis techniczny. Kluczowe staje się również: kto miał do niego dostęp i czy istniały okoliczności sprzyjające manipulacji. Dobrze prowadzony łańcuch dowodowy zmniejsza przestrzeń na takie wątpliwości.
Pakowanie i plombowanie nośników
Nośnik cyfrowy trafia do opakowania nie po to, by „ładnie wyglądał w magazynie”, ale żeby było jasne, czy ktoś po drodze do niego zaglądał. Stosuje się koperty i pudełka z tworzyw, które można łatwo opisać i zaplombować, a przy próbie otwarcia pozostawiają widoczne ślady naruszenia.
Na opakowaniu powinny się znaleźć co najmniej:
- data i miejsce zabezpieczenia,
- imię, nazwisko i podpis osoby pakującej,
- krótki opis zawartości (np. „dysk twardy 2,5” Samsung, numer seryjny…”),
- oznaczenie sprawy lub numer dowodu rzeczowego.
W przypadku urządzeń mobilnych, które łatwo się aktywują, stosuje się dodatkowe środki – np. torby blokujące sygnał (tzw. torby Faradaya), by uniemożliwić połączenie z siecią i zdalne usunięcie danych. Dla biegłego informacja, że taki środek zastosowano, ma znaczenie przy ocenie ryzyka ingerencji z zewnątrz.
Rejestrowanie każdej zmiany posiadania
Gdy nośnik przechodzi z rąk do rąk, powstaje miejsce na lukę: „nie wiadomo, co się działo przez dwa dni, gdy leżał w szufladzie”. Żeby uniknąć tego typu zarzutów, prowadzi się karty obiegu dowodu, gdzie każdorazowe wydanie i przyjęcie nośnika jest potwierdzane podpisem, datą i godziną oraz celem przekazania (analiza, transport, przechowanie).
W większych jednostkach policji czy laboratoriów funkcjonuje elektroniczny system ewidencji. Po zeskanowaniu kodu dowodu pojawia się jego historia i osoby odpowiedzialne za każdy etap. Nawet w skromniejszych warunkach podobny efekt można osiągnąć prostą, ale konsekwentnie prowadzoną kartą papierową.
Integralność danych a rola sum kontrolnych
Sam fakt, że dysk leży w zaplombowanym pudełku, nie przesądza jeszcze, że zawartość danych jest nienaruszona. W informatyce śledczej standardem jest obliczanie sum kontrolnych (hashy) nośników i ich obrazów binarnych. Funkcje takie jak SHA-256 czy SHA-512 przekształcają zawartość pliku lub całego nośnika w ciąg znaków, który zmienia się przy najmniejszej modyfikacji danych.
Procedura wygląda zwykle tak: po wykonaniu kopii binarnej dysku oblicza się hash oryginału i hash obrazu. Jeśli są identyczne, kopia jest wiernym odwzorowaniem. W protokole zapisuje się wartość sumy kontrolnej. Gdy po kilku miesiącach lub latach biegły sięga po ten sam obraz, może ponownie policzyć hash i sprawdzić, czy w międzyczasie nie doszło do przypadkowego bądź celowego naruszenia danych.
W sali rozpraw to liczby stają się jednym z najmocniejszych argumentów: można je niezależnie zweryfikować, a ich zgodność lub rozbieżność jest łatwa do jednoznacznej interpretacji.
Tworzenie kopii binarnych i praca na obrazach danych
Dlaczego nie analizuje się „na żywym organizmie”
Bezpośrednia praca na oryginalnym dysku lub telefonie jest kusząca: szybciej można coś podejrzeć, wejść w system, sprawdzić plik. Z perspektywy dowodowej to jednak ryzykowna droga. Każde uruchomienie systemu, każde otwarcie katalogu generuje nowe wpisy w logach, zmienia daty dostępu do plików, nadpisuje przestrzeń wymiany (swap). Trudno później rozdzielić ślady zdarzenia od śladów samej analizy.
Dlatego standardem jest jak najszybsze wykonanie kopii binarnej (obrazu) nośnika, a następnie praca wyłącznie na tej kopii. Oryginał trafia do magazynu, gdzie czeka na ewentualne ponowne odtworzenie w wyjątkowych sytuacjach.
Sprzętowe i programowe blokowanie zapisu
Tworzenie obrazu wiąże się z podłączeniem nośnika do stacji roboczej biegłego. Żeby mieć pewność, że system operacyjny nie wprowadzi na ten nośnik żadnych zmian (np. automatycznej defragmentacji czy indeksowania), stosuje się tzw. write-blockery, czyli blokery zapisu.
Występują w dwóch wariantach:
- sprzętowym – specjalne urządzenia pośredniczące między badanym nośnikiem a komputerem, które fizycznie uniemożliwiają wysłanie komend zapisu,
- programowym – sterowniki i narzędzia systemowe ustawiające nośnik w trybie tylko do odczytu.
Rozwiązania sprzętowe są chętniej widziane w sądach, bo dają wyższy poziom zaufania: trudniej je przypadkowo „ominąć”. W praktyce często łączy się oba mechanizmy – najpierw write-blocker, a potem dodatkowe ustawienia w systemie analitycznym.
Metody akwizycji: pełna kopia, kopia logiczna, selektywna
Nie każdy przypadek wymaga identycznego podejścia. Inaczej pracuje się na serwerze w działającym centrum danych, inaczej na laptopie z jedną partycją. Najczęściej stosuje się trzy główne strategie:
- pełna kopia binarna (bit‑po‑bicie) – odwzorowanie całego nośnika, łącznie z obszarami nieprzydzielonymi, slack space, MBR/GPT; daje najpełniejszy obraz sytuacji, ale jest czasochłonna i generuje duże pliki,
- kopie logiczne – zgrywanie wybranych struktur, np. systemu plików danego użytkownika, baz danych, logów; stosowane, gdy pełna akwizycja jest niemożliwa (ograniczenia czasu, dostępności, wielkości danych),
- akwizycja selektywna – celowe zgrywanie tylko określonych katalogów czy typów plików, np. w reakcji na incydent w firmie, aby w krótkim czasie zabezpieczyć najważniejsze dane.
Wybór metody ma później konsekwencje dowodowe. Pełna kopia pozwala wrócić do nośnika po latach z nowymi technikami analizy. Kopia logiczna może okazać się niewystarczająca, jeśli pojawi się potrzeba badania skasowanych plików lub analizy slack space. Dlatego przed podjęciem decyzji biegły często rozmawia z prokuratorem, wyjaśniając, jakie kompromisy są z tym związane.
Dobrym uzupełnieniem będzie też materiał: Zaawansowany sprzęt do analizy materiałów wybuchowych: jak laboratoria badają ślady po detonacjach — warto go przejrzeć w kontekście powyższych wskazówek.
Obrazy forensyczne i formaty danych
W cyfrowej praktyce używa się specjalnych formatów plików do przechowywania obrazów dowodowych. Najbardziej znane to m.in. E01 (EnCase), AFF, a także proste obrazy typu „raw” (dd). Każdy z nich ma swoje właściwości: możliwość kompresji, dodawania metadanych czy wbudowane mechanizmy weryfikacji integralności.
W metadanych obrazu zapisuje się m.in.:
- datę i godzinę wykonania kopii,
- dane osoby wykonującej akwizycję,
- użyte narzędzia i ich wersje,
- sumy kontrolne źródła i obrazu.
To „paszport” obrazu. Gdy kilka lat później inny biegły otrzyma ten sam plik, będzie mógł odtworzyć okoliczności jego powstania i ocenić, czy spełnia on standardy rzetelności przyjęte w danej jurysdykcji.
Praca na kopii: od wstępnego przeglądu po głęboką analizę
Po wykonaniu obrazu i sprawdzeniu integralności rozpoczyna się właściwa analiza. Jej pierwszym etapem bywa wstępny przegląd – szybkie zorientowanie się, z jakim typem systemu i danych mamy do czynienia: wersja systemu operacyjnego, struktura partycji, obecność szyfrowania, typowe katalogi użytkowników.
Na tym etapie pojawiają się pierwsze pytania kontrolne: co wiemy o potencjalnych użytkownikach urządzenia? czy widać wiele kont? jakiego rodzaju oprogramowanie dominuje? Ten wstęp bazuje zarówno na automatycznym skanowaniu, jak i manualnym przeglądzie kluczowych katalogów.
Później dochodzi do głębszych analiz, obejmujących m.in. odzyskiwanie skasowanych danych, analizę logów, rekonstrukcję aktywności internetowej czy tworzenie osi czasu zdarzeń. Całość powinna być prowadzona w sposób powtarzalny: tak, by inny specjalista mógł wykonać analogiczne kroki i dojść do podobnych rezultatów.
Analiza systemów komputerowych – od plików użytkownika po artefakty systemowe
Warstwa użytkownika: dokumenty, multimedia, komunikacja
Pierwsze skojarzenie z „dowodami cyfrowymi” to zwykle pliki: dokumenty tekstowe, arkusze kalkulacyjne, zdjęcia, korespondencja e‑mail. Ta warstwa jest najłatwiejsza do zrozumienia dla sądu, bo dotyczy bezpośrednio treści – można ją przeczytać, obejrzeć, odtworzyć.
Analiza plików użytkownika obejmuje:
- przegląd zawartości katalogów domowych i pulpitu,
- identyfikację typów plików po nagłówkach (a nie tylko po rozszerzeniach),
- wyszukiwanie słów kluczowych w treści dokumentów,
- badanie metadanych (dat utworzenia, modyfikacji, autora, oprogramowania użytego do stworzenia pliku).
Metadane potrafią przesądzić o interpretacji zdarzenia. Przykład z praktyki: dokument umowy znajduje się na dysku podejrzanego, ale metadane wskazują, że został utworzony na innym komputerze i tylko otwarty na badanym urządzeniu. Co wiemy? Że użytkownik miał dostęp do treści. Czego nie wiemy bez dalszej analizy? Czy brał udział w jej tworzeniu.
System plików i artefakty niskiego poziomu
Poza widocznymi dla użytkownika katalogami istnieje cały świat struktur, które zarządczają zapisem danych na dysku: MFT w systemach NTFS, tablice alokacji w FAT, struktury ext w systemach linuksowych. To tam zapisują się informacje o tym, jakie pliki istnieją lub istniały, jakie bloki danych są zajęte, a jakie „wolne”.
Biegły analizuje m.in.:
- wpisy w tabeli MFT, w tym rekordy oznaczone jako usunięte,
- strukturę katalogów i nietypowe punkty montowania,
- obszary slack space – końcówki klastrów, gdzie mogą zalegać fragmenty wcześniejszych plików,
- tzw. nieprzydzieloną przestrzeń (unallocated), gdzie przechowują się szczątki skasowanych danych.
To poziom, na którym pojawia się możliwość odzyskania danych skasowanych, nadpisanych tylko częściowo lub takich, które zostały oznaczone jako usunięte w systemie plików, ale fizycznie nadal znajdują się na nośniku. W sprawach o usuwanie dowodów czy niszczenie dokumentacji bywa to kluczowy element układanki.
Artefakty systemowe: rejestr, logi, pliki tymczasowe
Nowoczesne systemy operacyjne nieustannie notują swoją aktywność – dla potrzeb stabilności, diagnostyki, aktualizacji. Te ślady są mniej spektakularne niż „pistolet w dłoni”, ale często bardziej wymowne, bo pokazują, co faktycznie działo się na komputerze, a nie tylko co na nim zostało zapisane.
Do najważniejszych artefaktów systemowych należą:
- Rejestr systemu Windows – zawiera informacje o ostatnio otwieranych plikach, podłączanych urządzeniach USB, uruchamianych programach, zapisanych hasłach Wi‑Fi.
- Logi systemowe – dzienniki zdarzeń rejestrujące uruchomienia, wyłączenia, błędy, instalacje oprogramowania, próby logowania.
- Pliki tymczasowe i cache – pozostałości po przeglądarce internetowej, instalatorach, edytorach dokumentów.
Przykładowo: użytkownik twierdzi, że nigdy nie miał podłączonego konkretnego pendrive’a. Analiza kluczy rejestru odpowiadających za historię urządzeń USB może wykazać, że dane urządzenie było wielokrotnie podłączane, a system zarejestrował jego numer seryjny. To już nie jest interpretacja, lecz konkretny fakt techniczny.
Artefakty systemowe łączy jedna cecha: pojedynczy wpis rzadko przesądza o losach sprawy. Dopiero zestawienie wielu źródeł – logów systemowych, historii urządzeń, listy ostatnio otwieranych plików, śladów w pamięci podręcznej przeglądarki – pozwala zrekonstruować realny przebieg zdarzeń. Pytanie kontrolne, które zadaje sobie biegły, brzmi wtedy: co wynika z twardych zapisów systemu, a co jest tylko hipotezą opartą na ich interpretacji.
W praktyce śledczej ważna jest też umiejętność odróżnienia aktywności użytkownika od działań automatycznych. Aktualizacje oprogramowania, skrypty systemowe, synchronizacja w chmurze – wszystko to zostawia ślady łudząco podobne do świadomej pracy przy komputerze. Dlatego pojedyncze logowanie do usługi czy rejestracja procesu nie wystarczają; trzeba sprawdzić kontekst czasowy, inne powiązane wpisy oraz porównać je z zeznaniami osób uczestniczących w sprawie.
Do tego dochodzi problem nadmiaru informacji. Nowoczesny system operacyjny generuje tak dużo logów i plików pomocniczych, że bez filtrowania i priorytetyzacji analiza byłaby zwyczajnie niewykonalna. Biegli korzystają więc z wyspecjalizowanych narzędzi, które potrafią automatycznie wyłuskać typowe artefakty – oś czasu logowań, historię uruchamianych aplikacji, zmiany konfiguracji – a dopiero później przechodzą do szczegółowego, ręcznego sprawdzania wybranych fragmentów. To połączenie automatyzacji i krytycznego spojrzenia człowieka jest kluczowe.
Ostatecznie cyfrowe ślady z systemów komputerowych stają się jednym z elementów większej układanki: obok zeznań, wyników klasycznych oględzin miejsca zbrodni, ekspertyz biologicznych czy balistycznych. Ich siła nie polega wyłącznie na ilości danych, ale na spójności z pozostałym materiałem dowodowym. Im lepiej rozumiane są mechanizmy powstawania tych śladów – przez biegłych, śledczych i sąd – tym mniejsze ryzyko przecenienia lub zignorowania informacji zapisanych w pozornie zwyczajnym komputerze.
Aktywność sieciowa i ślady komunikacji online
Komputer rzadko działa w próżni. Większość współczesnych spraw zahacza o aktywność w sieci: przeglądanie stron, korzystanie z komunikatorów, logowanie do usług chmurowych. Z punktu widzenia biegłego to osobna warstwa śladów – częściowo zapisana lokalnie, częściowo na serwerach dostawców usług.
Na poziomie lokalnym analizuje się przede wszystkim:
- historię przeglądarek internetowych (URL, tytuły stron, czas wizyt),
- pliki cache, cookies i lokalne bazy (np. SQLite w przeglądarkach),
- zapamiętane loginy, tokeny sesji, dane autouzupełniania formularzy,
- konfigurację sieci (adresy IP, DNS, zapisane sieci Wi‑Fi),
- lokalne logi komunikatorów i klientów pocztowych.
Prosty przykład: w sprawie groźby karalnej e‑mail wysłano z darmowej skrzynki. Na dysku podejrzanego nie ma kopii wiadomości, ale w historii przeglądarki widać logowania do tej konkretnej skrzynki w czasie zbliżonym do wysyłki, a w cache – fragmenty interfejsu strony z katalogu „Wysłane”. Co wiemy? Że użytkownik korzystał z tej skrzynki w danym oknie czasowym. Czego jeszcze nie wiemy? Czy to on napisał wiadomość, czy być może ktoś inny użył tego samego konta na innym urządzeniu.
Aktywność sieciowa to również konfiguracja interfejsów, pliki dzienników zapory systemowej, ślady po oprogramowaniu VPN czy narzędziach anonimizujących. Sam fakt obecności klienta VPN niczego nie przesądza, ale gdy łączy się z logami wskazującymi na tunelowanie ruchu tuż przed atakiem DDoS, zaczyna układać się w spójną sekwencję.
Komunikatory, media społecznościowe i szyfrowanie end‑to‑end
Miejsce klasycznego e‑maila coraz częściej zajmują komunikatory: WhatsApp, Signal, Telegram, Messenger. Wiele z nich korzysta z szyfrowania end‑to‑end, które istotnie zmienia zasady gry. Treści wiadomości mogą być poza zasięgiem zarówno biegłego, jak i samego dostawcy usługi, ale w systemie zwykle pozostają ślady poboczne.
Na urządzeniu analizuje się m.in.:
- bazy danych aplikacji (konwersacje, listy kontaktów, identyfikatory czatów),
- miniatury zdjęć i załączników,
- logi powiadomień push,
- czas ostatniego użycia aplikacji i poszczególnych rozmów.
Nawet jeśli treść wątku zostanie skasowana lub zaszyfrowana, nazwy kontaktów, znaczniki czasu, długość i częstotliwość komunikacji wciąż bywają odczytywalne. To wystarcza, by ocenić, czy między dwiema osobami istniała intensywna relacja komunikacyjna w krytycznym okresie. Pytanie kontrolne dla biegłego brzmi wtedy: na ile można wnioskować o treści i sensie relacji wyłącznie z metadanych, bez ryzyka przekroczenia granicy między technicznym faktem a spekulacją.
W przypadku mediów społecznościowych pojawia się jeszcze jeden poziom: dane serwerowe. Tam znajdują się logi logowań, adresy IP, informacje o użytych urządzeniach, a często również kopie konwersacji. To już obszar współpracy międzynarodowej, wniosków do dostawców i sporów o zakres dopuszczalnej inwigilacji. Nawet jednak bez odpowiedzi od usługodawcy, same lokalne artefakty (cache, pliki offline, logi aplikacji) potrafią pokazać, jakie konto było aktywne na badanym komputerze i kiedy.
Analiza pamięci operacyjnej (RAM) i danych ulotnych
Do tej pory mowa była głównie o danych utrwalonych na dysku. Tymczasem część kluczowych śladów istnieje tylko w pamięci operacyjnej komputera: klucze szyfrujące, niezapisane dokumenty, bieżące sesje komunikatorów, fragmenty rozmów VoIP. To tzw. dane ulotne – znikają przy wyłączeniu zasilania.
Jeżeli sytuacja operacyjna na to pozwala, jeszcze przed wyłączeniem urządzenia wykonuje się zrzut pamięci (memory dump). Dobór narzędzia zależy od systemu i wymagań dowodowych, ale idea jest wspólna: stworzyć możliwie wierną kopię stanu RAM w danym momencie.
W zrzucie pamięci biegły szuka m.in.:
- listy aktywnych procesów i połączeń sieciowych,
- fragmentów haseł i kluczy szyfrowania (np. do dysków lub komunikatorów),
- tekstów rozmów z aplikacji, które nie zapisują pełnej historii na dysku,
- śladow po złośliwym oprogramowaniu działającym wyłącznie w pamięci.
To obszar, w którym różnica między działaniem na żywym systemie a „bezpiecznym” badaniem obrazu dysku jest szczególnie widoczna. Wyłączenie komputera przed akwizycją RAM może oznaczać utratę jedynych dostępnych kluczy deszyfrujących kontener z danymi. Z drugiej strony, każde działanie w uruchomionym systemie modyfikuje jego stan – również dowody. Dlatego decyzja o priorytecie (pamięć czy dysk) bywa podejmowana wspólnie przez biegłego i prowadzącego sprawę, z pełną świadomością konsekwencji.
Systemy szyfrowania i nośniki zaszyfrowane
Szyfrowanie pełnodyskowe, kontenery z danymi, zaszyfrowane katalogi użytkowników – to codzienność w nowoczesnych systemach. Obraz binarny takiego nośnika bez klucza przypomina z punktu widzenia biegłego losowy ciąg bajtów. Analiza koncentruje się wtedy na kilku kierunkach.
Po pierwsze, identyfikacja użytej technologii szyfrowania: nagłówki kontenerów, charakterystyczne wzorce w strukturze dysku, elementy konfiguracji systemu (np. BitLocker w Windows, LUKS w Linuksie, FileVault na macOS). Po drugie, poszukiwanie materiału umożliwiającego odszyfrowanie: haseł zapisanych w menedżerach, kluczy w pamięci RAM, kopii kluczy odzyskiwania przechowywanych na innych nośnikach, papierowych notatek, zdjęć ekranu z hasłami.
W tle toczy się dyskusja prawna: na ile osoba podejrzana może być zmuszona do ujawnienia hasła, a na ile chroni ją prawo do obrony i zakaz samooskarżania. Z perspektywy informatyki śledczej to kontekst, który decyduje o tym, czy biegły skupia wysiłki na technicznym łamaniu zabezpieczeń, czy raczej na wykazaniu, że dany zaszyfrowany kontener istnieje, był używany i jest istotny dla sprawy, nawet jeśli jego treść pozostaje nieznana.
Współistnienie śladów: korelacja danych z wielu źródeł
Prawdziwa siła analizy komputerowej nie polega na pojedynczym „mocnym” znalezisku, ale na umiejętnym zestawieniu wielu, pozornie drobnych śladów. Log systemowy mówi, że komputer wybudził się z uśpienia o 23:17. Historia przeglądarki – że minutę później odwiedzono stronę z instrukcją budowy ładunku. Rejestr USB dodaje: o 23:21 podłączono konkretny pendrive. Treść samego pendrive’a może być zaszyfrowana, ale sekwencja zdarzeń zaczyna nabierać sensu.
Do takiej korelacji używa się często narzędzi budujących oś czasu (timeline) z wielu źródeł: MFT, logów systemowych, przeglądarek, komunikatorów, plików aplikacji. Z technicznego punktu widzenia to proste łączenie rekordów według znaczników czasu. Z punktu widzenia postępowania karnego – jeden z najbardziej wrażliwych etapów, bo tu granica między suchym faktem a narracją jest cienka.
Pytanie zasadnicze brzmi wtedy: które związki między zdarzeniami wynikają bezpośrednio z danych, a które są tylko interpretacją śledczego lub biegłego. Przykładowo: można stwierdzić, że aplikacja została uruchomiona o określonej godzinie. Trudniej już uczciwie powiedzieć, kto siedział przy klawiaturze, jeśli w domu jest kilka osób, a system dopuszcza niezabezpieczone konto gościa.
Automatyzacja analizy i ryzyko „czarnej skrzynki”
Skala danych wymusza korzystanie z narzędzi automatycznych: pakietów do analizy forensycznej, skryptów parsujących logi, systemów indeksowania treści. Umożliwiają one przejrzenie terabajtów danych w rozsądnym czasie, wyszukiwanie słów kluczowych, rozpoznawanie typów plików, generowanie raportów. Bez tego wiele współczesnych śledztw po prostu by utknęło.
Automatyzacja wprowadza jednak nowe ryzyka. Po pierwsze, biegły może nie mieć pełnej wiedzy o wewnętrznych algorytmach narzędzia (zamknięty kod, prywatne formaty). Po drugie, część funkcji działa jak „czarna skrzynka”: wczytujemy obraz, otrzymujemy listę potencjalnych dowodów, ale nie zawsze jest oczywiste, dlaczego coś zostało zakwalifikowane tak, a nie inaczej.
Z perspektywy sądu istotne jest więc nie tylko to, co narzędzie znalazło, ale czy proces dochodzenia do wyniku jest weryfikowalny. Dlatego dobrze udokumentowana analiza zwykle obejmuje:
Na koniec warto zerknąć również na: Profil zapachowy człowieka: mało znana, ale skuteczna metoda identyfikacji kryminalistycznej — to dobre domknięcie tematu.
- opis użytych programów i ich wersji,
- wskazanie kluczowych ustawień (filtry, słowa kluczowe, zakres dat),
- pokazanie, jak konkretne znalezisko można odtworzyć ręcznie lub innym narzędziem.
W praktyce oznacza to często podwójną pracę: wstępne przesiewanie danych za pomocą rozbudowanych pakietów, a następnie ręczne potwierdzanie najważniejszych wniosków. To spowalnia analizę, ale zwiększa jej odporność na zarzut, że „maszyna się pomyliła”.
Granice interpretacji i rola języka w opinii biegłego
Cyfrowe ślady rzadko mówią same za siebie. Aby stały się częścią materiału dowodowego, ktoś musi je opisać i zinterpretować – zwykle biegły sądowy. Sposób użycia słów ma tu znaczenie większe, niż może się wydawać. Stwierdzenie „użytkownik usunął plik X” sugeruje bezpośrednie działanie człowieka. Zdanie „plik X został oznaczony w systemie jako usunięty w czasie, gdy konto Użytkownik było zalogowane” jest technicznie precyzyjniejsze, ale mniej efektowne.
W dobrze sporządzonej opinii rozdziela się fakty techniczne od wniosków i hipotez. Faktem jest to, co da się powtórzyć: wpis w logu, rekord w MFT, zawartość pliku. Wniosek to już interpretacja tych faktów w kontekście całej sprawy. Hipoteza – scenariusz, który tłumaczy zgodny z danymi ciąg zdarzeń, ale dopuszcza również inne wyjaśnienia.
Ten podział bywa kluczowy przy przesłuchaniu biegłego przed sądem. Obrońca pyta: „Czy może Pan wykluczyć, że plik pobrał ktoś inny, korzystając z niezabezpieczonego komputera?”. Rzetelna odpowiedź nie polega na obronie raz przyjętej narracji, lecz na jasnym wskazaniu, co wynika z dowodów cyfrowych, a co jest jedynie najbardziej prawdopodobnym, ale nie jedynym możliwym scenariuszem.
Nowe wyzwania: chmura, urządzenia IoT, środowiska wirtualne
Cyfrowe miejsce zbrodni coraz częściej wykracza poza klasyczny komputer stacjonarny czy laptop. W grę wchodzą konta w chmurze, inteligentne urządzenia domowe, maszyny wirtualne i kontenery w środowiskach serwerowych.
W przypadku usług chmurowych dowody rozproszone są między lokalnym urządzeniem a infrastrukturą dostawcy. Na dysku można znaleźć konfigurację klienta synchronizującego, listę ostatnich plików, cache miniatur i fragmenty dokumentów. Pełna treść często wymaga jednak formalnego zwrócenia się do operatora usługi, nierzadko działającego w innym kraju i w innej strefie prawnej.
Urządzenia IoT – od kamer monitoringu po inteligentne głośniki – zapisują logi aktywności, nagrania audio‑wideo, informacje o obecności użytkowników. Jednocześnie korzystają z własnych systemów, protokołów, często zamkniętych ekosystemów. Oględziny takiego „miejsca zbrodni” mogą wymagać kontaktu z producentem lub sięgnięcia po specjalistyczne metody akwizycji, inne dla każdego modelu.
Środowiska wirtualne i kontenery dodają kolejny poziom złożoności. Na jednym fizycznym serwerze mogą działać dziesiątki maszyn wirtualnych, każda z własnym systemem plików i logami. Z perspektywy informatyki śledczej oznacza to konieczność pracy zarówno na obrazie fizycznym (host), jak i na obrazach logicznych poszczególnych maszyn (guest). Bywa, że kluczowe ślady istnieją wyłącznie w wirtualnej instancji, której ślad fizyczny to jedynie kilka dużych plików na dysku gospodarza.
Kompetencje zespołu i współpraca z innymi specjalistami
Analiza cyfrowego miejsca zbrodni coraz rzadziej jest zadaniem jednej osoby. Biegły od systemów Windows może świetnie radzić sobie z rejestrem i artefaktami NTFS, ale w sprawie ataku na serwer kontenerowy potrzebny będzie specjalista od systemów linuksowych i sieci. Do tego dochodzą eksperci od złośliwego oprogramowania, kryptografii, komunikacji radiowej czy analizy nagrań wideo.
W praktyce prowadzi to do powstawania zespołów, w których kluczowa jest nie tylko wiedza jednostkowa, ale i umiejętność dzielenia się ustaleniami. Osoba analizująca logi sieciowe musi rozumieć, jak jej obserwacje łączą się z tym, co widać w systemie plików, a specjalista od chmury – jak jego ustalenia korelują z danymi z telefonu podejrzanego. Bez takiej współpracy ryzyko przeoczenia istotnych powiązań rośnie.
Wspólny język jest tu równie ważny jak narzędzia. Specjalista od sieci opisuje zdarzenia w kategoriach pakietów, portów i sesji, ekspert od systemów operacyjnych – procesów, uchwytów i identyfikatorów użytkowników. Jeśli te opisy nie zostaną „przetłumaczone” na zrozumiałe dla reszty zespołu pojęcia, łatwo o pozorne sprzeczności lub dublowanie pracy. Rozwiązaniem bywają krótkie, regularne odprawy, podczas których każdy prezentuje nie tylko wynik, ale też ograniczenia własnej analizy.
Drugim, często pomijanym elementem są kompetencje miękkie. Biegły, który potrafi rozmawiać z administratorami, policjantami operacyjnymi i prokuratorem, uzyska zwykle lepszy dostęp do kontekstu sprawy. To z kolei pozwala uniknąć ślepych uliczek – na przykład wielodniowej analizy serwera, który w rzeczywistości pełnił wyłącznie funkcję testową i nie miał kontaktu z systemem produkcyjnym, istotnym dla sprawy.
Nowoczesne laboratoria informatyki śledczej coraz częściej sięgają też po stałą współpracę z działami bezpieczeństwa w firmach i instytucjach. Gdy dochodzi do incydentu, to właśnie oni jako pierwsi zbierają logi i wykonują kopie awaryjne. Od jakości tej „pierwszej linii” zależy, z czym później będzie pracował biegły i czy uda się odtworzyć przebieg zdarzeń bez luk.
W tle pozostaje pytanie: co wiemy na pewno, a co jest tylko najbardziej spójną opowieścią dopasowaną do śladów cyfrowych? Informatyka śledcza nie usuwa tej niepewności, ale pozwala ją uczciwie opisać. Dobrze przeprowadzona analiza cyfrowego miejsca zbrodni nie polega wyłącznie na znalezieniu „dymiącego pistoletu” w postaci jednego pliku czy logu. Chodzi raczej o zbudowanie możliwie pełnego obrazu zdarzeń – tak, by sąd mógł świadomie ocenić siłę i granice dowodów, które powstały w świecie zer i jedynek, a mają realne konsekwencje w świecie ludzi.
