OD IZVORNIKA DO KOPIJE

Na začetku je bila ena datoteka.

Iz informacijskega sistema je bil izvožen CSV z nekaj tisoč vrsticami. Kopija je bila shranjena v mapo pregleda, druga odprta v preglednici. Analitik je odstranil stolpce, ki za trenutno nalogo niso bili pomembni, pretvoril zapis časa, nastavil filter in podatke razvrstil. Izbrane vrstice je nato prenesel v poročilo. Del tabele je zaradi preglednosti prikazal še kot sliko. Končni dokument vsebuje pravilne podatke.

Čez tri mesece nekdo želi preveriti, kako je določena vrstica iz poročila nastala iz prvotnega izvoza. Izvorna datoteka še obstaja. Obstaja tudi poročilo. Vmesne različice pa so bile prepisane, filter ni dokumentiran, pretvorjena časovna vrednost je ostala samo v delovni preglednici.

Nihče ni spreminjal dokazov.

Kljub temu je del poti med izvirom in ugotovitvijo izginil.

To je pri digitalnem gradivu lažje, kot se zdi.

Prva kopija še ni problem

Pri papirnem dokumentu intuitivno ločimo izvirnik in fotokopijo. Pri digitalnih podatkih je položaj drugačen.

Datoteko lahko kopiramo tako, da je nova kopija bitno enaka prvi. Če je postopek pravilno izveden in preverjen, sama izdelava kopije ne zmanjša njene uporabnosti. V digitalni forenziki se zato pogosto dela prav s kopijami, medtem ko se pridobljeno gradivo ohrani nespremenjeno.

SWGDE v aktualnih priporočilih za zbiranje digitalnih dokazov izrecno predvideva izdelavo forenzične delovne kopije in ločenega arhiva. Namen je omogočiti analizo, ne da bi bilo treba posegati v ohranjeno izvorno gradivo.

Pomembna razlika zato ni samo med »izvirnikom« in »kopijo«.

Bolj uporabna je razlika med gradivom, katerega stanje smo ob zajemu ohranili in dokumentirali, ter različicami, ki so nastale pozneje zaradi analize, pretvorbe ali predstavitve. Dve datoteki sta lahko popolnoma enaki.

Lahko pa imata enako ime in povsem drugačno zgodovino.

Sprememba se lahko začne že pri izvozu

Ko podatke izvozimo iz aplikacije, pogosto rečemo, da smo dobili »podatke iz sistema«.

V resnici smo dobili eno predstavitev teh podatkov.

Izvoz lahko vsebuje samo polja, ki jih aplikacija dovoljuje izvoziti. Lahko upošteva trenutni filter, uporabnikove pravice, časovno obdobje ali izbrani pogled. Nekateri podatkovni tipi se med izvozom pretvorijo. Strukturirani zapisi lahko postanejo ravna tabela. Časovni podatki lahko izgubijo informacijo o časovnem pasu. Več povezanih objektov se lahko združi v eno vrstico.

To ne pomeni, da je izvoz slab vir.

Pomeni, da izvoz ni nujno popolna reprodukcija notranjega stanja sistema.

Pri običajnem poročanju to pogosto ni pomembno. Pri preverjanju spornega dogodka pa lahko postane odločilno, ali je stolpec v datoteki izvorno polje, izračunana vrednost ali rezultat pretvorbe ob izvozu.

Digitalno gradivo zato ne izgublja konteksta samo takrat, ko ga nekdo ročno spreminja. Del konteksta lahko izgine že pri prehodu iz enega sistema v drug format.

SWGDE pri pridobivanju podatkov iz oblačnih storitev posebej opozarja, da različni načini dostopa ne zagotavljajo nujno enakega obsega podatkov in metapodatkov. Priporoča tudi pridobitev podatkov v obliki, v kateri jih je mogoče ustrezno obdelati, ob hkratnem razumevanju omejitev posameznega načina pridobitve.

Format je zato del okoliščin, v katerih je digitalni zapis nastal.

Delovna kopija mora ostati delovna

Največ sprememb običajno ne nastane pri zajemu, ampak pozneje.

Podatke je treba očistiti. Združiti je treba več virov. Časovne zapise pretvoriti v enotno obliko. Odstraniti podvojene vrstice. Izločiti nerelevantne dogodke. Izračunati razlike. Včasih je treba več milijonov zapisov zmanjšati na nekaj deset dogodkov, ki dejansko pojasnjujejo obravnavani primer.

Brez tega analiza skoraj ne bi bila mogoča.

Problem nastane, če delovna različica postopoma prevzame mesto ohranjenega gradiva.

Preglednica se shrani čez prejšnjo. CSV se odpre in ponovno shrani v drugem programu. Datoteka se preimenuje, iz nje se odstranijo stolpci, nato pa nihče več ne ve, ali gre še za prvotni izvoz ali za obdelano različico.

Takšni postopki so nevarni predvsem zato, ker so povsem običajni.

Ni potreben nameren poseg. Dovolj je Ctrl+S.

SWGDE poudarja, da mora skrb za integriteto digitalnih podatkov potekati od začetnega prepoznanja gradiva skozi vse naslednje faze njegovega življenjskega cikla. Med dejavniki, ki lahko ogrozijo integriteto, navaja tudi človeško napako in pomanjkljivo dokumentiranje.

Preprost ločen režim dela zato veliko spremeni. Ohranjena različica ostane nespremenjena. Analiza poteka na kopiji. Nova pomembna transformacija ustvari novo različico, ne novega stanja iste datoteke.

Tako je vedno jasno, kam se je mogoče vrniti.

Zgoščena vrednost ima ozko, vendar pomembno nalogo

Pri digitalnem gradivu se hitro pojavi izraz SHA-256.

Zgoščena vrednost oziroma hash je matematično izračunan povzetek digitalnega objekta. Uporablja se predvsem za preverjanje njegove integritete. NIST danes hash v forenzičnem kontekstu opredeljuje kot vrednost, ki se uporablja za potrjevanje integritete digitalnega gradiva oziroma za primerjavo z znanimi vrednostmi.

NISTIR 8387 priporoča zgoščevanje digitalnih slik in drugih digitalnih objektov ter ločeno in varno hrambo izračunanih vrednosti.

V praksi je to zelo močan mehanizem.

Če ob zajemu datoteke izračunamo SHA-256, lahko pozneje ponovno izračunamo vrednost in jo primerjamo s prvotno. Ujemanje je močan pokazatelj, da se bitna vsebina datoteke vmes ni spremenila.

To pa je tudi meja odgovora.

Zgoščena vrednost sama ne pove:

ali je bil zajet pravi vir, ali je bil izvoz popoln, ali je sistem pred izvozom uporabljal napačne podatke, ali je bil uporabljen napačen filter, ali je vsebina pravilno interpretirana.

Če zajamemo napačno datoteko in takoj izračunamo njen SHA-256, lahko pozneje zelo dobro preverjamo integriteto napačne datoteke.

Hash zato potrjuje lastnost konkretnega digitalnega objekta. Ne potrjuje samodejno resničnosti vsega, kar iz njegove vsebine sklepamo.

Ta meja je pri mikroforenzičnem delu pomembna. Tehnično preverjanje integritete ne sme postati nadomestek za preverjanje izvora, popolnosti in pomena.

Metapodatki izginejo tiho

Datoteka ni samo vsebina, ki jo vidimo ob odprtju.

Ob njej obstajajo še podatki o času, velikosti, formatu, ustvarjanju, spremembah, avtorstvu, izvorni aplikaciji ali drugih lastnostih. Kateri metapodatki obstajajo, je odvisno od vrste datoteke in sistema, v katerem nastane.

Med kopiranjem jih lahko ohranimo.

Lahko jih tudi spremenimo, ne da bi se vsebina dokumenta na zaslonu kakorkoli razlikovala.

To je posebej izrazito v oblačnih okoljih. SWGDE v priporočilih iz leta 2025 opozarja, da časovni metapodatki pri pridobljenih oblačnih datotekah ne odražajo vedno trenutka nastanka izvornega gradiva. Čas ustvaritve lahko na primer predstavlja trenutek prenosa, čas spremembe pa sinhronizacijo z oblakom in ne dejanja uporabnika.

Datoteka je lahko torej vsebinsko pravilna, njen novi metapodatek pa govori predvsem o postopku pridobitve. To ne pomeni, da metapodatkom ne moremo zaupati.

Pomeni, da moramo vedeti, katerega dogodka so sled.

Pri pretvorbi dokumenta v PDF se lahko del metapodatkov spremeni. Pri razpakiranju arhiva lahko datotečni sistem ustvari nove časovne vrednosti. Pri prenosu iz oblaka lahko lokalni čas nastanka datoteke odraža prenos in ne prvotnega nastanka dokumenta.

Brez poznavanja postopka lahko te vrednosti delujejo mnogo bolj samoumevno, kot so v resnici.

Posnetek zaslona je zadnja plast

Posnetek zaslona je izredno uporabno orodje.

V nekaj sekundah lahko ohrani opozorilo, stanje uporabniškega vmesnika, rezultat poizvedbe ali konfiguracijo, ki je pozneje ne bo več mogoče prikazati na enak način.

Težava nastane, ko iz prikaza poskušamo sklepati več, kot prikaz vsebuje.

Slika običajno ne pove:

kaj je zunaj vidnega dela zaslona, ali je seznam filtriran, ali so stolpci skriti, iz katerega strežnika so prišli podatki, kdaj jih je aplikacija osvežila, kakšna poizvedba je ustvarila rezultat, ali obstajajo dodatni zapisi, ki na sliki niso prikazani. Posnetek zaslona zato ni nujno slab dokazni artefakt. V nekaterih okoliščinah je celo edina praktična možnost zajema. SWGDE pri oblačnih virih izrecno navaja posnetke zaslona ali fotografije kot možno nadomestno metodo, kadar drugih načinov pridobitve ni mogoče uporabiti.

Toda takrat mora biti jasno, kaj je bilo z njim dejansko zajeto.

Slika dokazuje predvsem, da je bil določen prikaz v nekem trenutku viden na zaslonu. Vse ostalo zahteva dodatni kontekst.

Zato je pogosto veliko bolj uporabna kombinacija slike in izvornega izvoza kot pa posnetek sam.

Analiza mora pustiti povratno pot

Pri dobri analizi ni bistveno, da se vsak korak izvede z enim orodjem ali v enem formatu.

Pomembno je, da je mogoče pot ponoviti.

Če je bilo iz 500.000 zapisov izbranih 73, mora biti mogoče ugotoviti po katerem kriteriju.

Če je bil čas pretvorjen iz lokalnega časa v UTC, mora biti znano pravilo pretvorbe.

Če sta bila dva izvora združena, mora ostati jasno, kateri zapis prihaja iz katerega.

Če so bile vrednosti popravljene zaradi znane napake v viru, mora obstajati zapis razloga.

Pri ročnem delu je lahko dovolj kratka metodološka opomba. Pri večjih analizah je bolje ohraniti poizvedbo, skripto, parameter izvoza ali drug ponovljiv postopek.

Takšna sled nima samo revizijske vrednosti.

Pomaga tudi analitiku.

Ko rezultat čez nekaj tednov ne ustreza pričakovanjem, je mogoče preveriti posamezen korak namesto ponovnega ugibanja, kako je datoteka nastala.

NIST SP 800-86 pri digitalni forenziki poudarja zbiranje, pregledovanje, analiziranje in poročanje ob ohranjanju integritete podatkov ter dokumentiranju izvedenih postopkov. Publikacija je iz leta 2006 in je namenjena predvsem odzivanju na incidente, vendar ostaja na strani NIST CSRC objavljena kot končna različica. V tem članku jo je smiselno uporabljati kot dopolnilni vir, ne kot edino sodobno podlago za upravljanje digitalnega gradiva.

V oblaku izvirnik ni vedno ena datoteka

Klasičen primer digitalnega dokaza je datoteka na disku.

Sodobni sistemi so pogosto drugačni.

Elektronsko sporočilo ima vsebino, glave, priponke, identifikatorje in podatke strežnika. Dokument v oblačni storitvi ima trenutno različico, zgodovino sprememb, dovoljenja, dogodke skupne rabe in podatke o dejavnostih. Poslovna aplikacija lahko stanje sestavlja iz več podatkovnih zbirk in povezanih storitev.

Vprašanje »kje je original« zato nima vedno preprostega odgovora.

V nekaterih primerih obstaja izvorna datoteka. Drugod je mogoče pridobiti samo izvoz določene predstavitve podatkov. Pri storitvah v oblaku ima lahko ponudnik več podatkov, kot jih uporabnik vidi skozi običajni vmesnik.

SWGDE v aktualnih smernicah za oblačne vire zato opozarja, da je treba poznati metodo pridobitve, preveriti pričakovani obseg pridobljenih podatkov, izračunati oziroma preveriti zgoščene vrednosti ter ohraniti dokumentacijo zajema. Opozarja tudi, da povezave za prenos podatkov pogosto niso trajne in pridobitve pozneje ni nujno mogoče ponoviti na isti način.

V takem okolju vrednost zajema ni samo v sami datoteki.

Pomemben postane tudi trenutek, način in obseg pridobitve.

Pretvorba lahko spremeni več kot obliko

Digitalno gradivo pogosto pretvorimo zato, da ga lahko odpremo ali predstavimo.

Elektronsko sporočilo se shrani kot PDF. Video se pretvori v drug kodek. Preglednica se izvozi v CSV. Podatkovna zbirka postane tabela. Več dnevnikov se normalizira v skupno strukturo.

Takšni postopki so lahko povsem upravičeni.

Vendar nova datoteka ni več nujno identičen digitalni objekt.

PDF elektronskega sporočila lahko dobro prikaže besedilo, vendar ne vsebuje vseh podatkov iz izvornega sporočila. CSV lahko vsebuje vrednosti celic, ne pa formul, vrst podatkov ali strukture delovnega zvezka. Pretvorjen video lahko ohrani vizualno vsebino in spremeni tehnične lastnosti datoteke.

Zato je koristno ločiti dve vprašanji. Ali je pretvorjena datoteka primerna za namen, za katerega jo uporabljamo.

In ali imamo še vedno možnost vrnitve k gradivu pred pretvorbo.

Če je odgovor na drugo vprašanje pritrdilen, pretvorba navadno ni problem. Postane dokumentiran analitični korak.

Če predhodna različica izgine, pa postane nova datoteka edina preostala predstavitev nečesa, česar morda ne moremo več ponovno pridobiti.

Vsega ni treba hraniti enako

Iz načel digitalne forenzike bi bilo napačno sklepati, da mora vsaka organizacija forenzično obravnavati vsak CSV, posnetek zaslona ali poslovni dokument.

To ne bi bilo praktično.

Posnetek napake pri običajnem zahtevku uporabniške podpore ne potrebuje enakega režima kot gradivo, na katerem temelji ugotovitev o varnostnem incidentu, nepravilnosti ali pomembni poslovni odločitvi.

Pomembna je sorazmernost.

Bolj ko je digitalni objekt pomemben za poznejšo ugotovitev, bolj pomembno postane, da lahko pojasnimo njegovo pot.

Pri manj pomembnem gradivu zadostuje običajno upravljanje dokumentov. Pri pomembnejšem je smiselno ohraniti začetno pridobljeno različico, njeno zgoščeno vrednost, osnovne podatke o zajemu in jasno ločene delovne različice. Pri zelo občutljivih primerih lahko organizacija potrebuje formalnejšo verigo skrbništva, nadzor dostopa, beleženje vseh prenosov in strožje postopke.

SWGDE za formalno zbiranje digitalnih dokazov zahteva sprotno dokumentiranje postopkov, evidence o prevzemu in prenosih ter podatke o uporabljenih orodjih, dnevnikih, datotekah in zgoščenih vrednostih.

Ni treba, da vsak postopek doseže to raven.

Dobro pa je vedeti, kdaj jo potrebujemo.

Preverljivost živi med različicami

Končno poročilo je lahko brezhibno.

Tabela je pregledna. Številke so pravilne. Graf je jasen. Ugotovitev je razumna.

Toda nekdo, ki želi rezultat preveriti, potrebuje še nekaj drugega.

Potrebuje pot nazaj.

Od ugotovitve do izbranih zapisov. Od izbranih zapisov do delovne različice. Od nje do pridobljenega gradiva. Od gradiva do znanega načina zajema.

Vsakega koraka ni treba opisovati na več straneh. Pogosto zadostujejo dobra struktura map, jasna imena različic, shranjena poizvedba, kratka metodološka opomba in kontrolna zgoščena vrednost začetnega gradiva.

Pomembno je, da med posameznimi stopnjami ne nastane praznina, ki jo lahko pozneje zapolnimo samo s spominom. Digitalno gradivo je mogoče skoraj popolno kopirati.

Prav zato je tako enostavno pozabiti, da kopiranje, izvoz, filtriranje, pretvorba in predstavitev niso isti postopki.

Včasih med njimi ne izgubimo niti enega pomembnega podatka.

Včasih izgubimo ravno tistega, ki bi pozneje pojasnil, kako smo do rezultata prišli.

EVIDENCE PROFILE

Dokazni profil članka

Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.

OSREDNJI DOKAZKopija ali pretvorba ni problem sama po sebi, če ostane ohranjena sled do pridobljenega gradiva in je mogoče rekonstruirati vse pomembne transformacije.

RAZISKAVE0

DOKUMENTACIJA5

PREDOBJAVE0

UREDNIŠKI PREIZKUSNE

PREVERJENO2026-08-31

Viri

1. 01PRIMARY DOCUMENTATIONNational Institute of Standards and Technology (NIST)
   NISTIR 8387, Digital Evidence Preservation: Considerations for Evidence Handlers, 2022. Dokument obravnava posebnosti ohranjanja digitalnega gradiva, integriteto, dokumentiranje izvora, zgoščene vrednosti, digitalne podpise in varovanje digitalnih objektov. NIST ga leta 2026 še vedno vključuje med svoja aktualna gradiva s področja upravljanja digitalnih dokazov.Odpri vir ↗
2. 02PRIMARY DOCUMENTATIONScientific Working Group on Digital Evidence (SWGDE)
   Scientific Working Group on Digital Evidence, SWGDE 18-F- 002-2.0, Best Practices for Digital Evidence Collection, različica 2.0, 2025. Aktualna različica smernic poudarja integriteto skozi celoten življenjski cikel podatkov, izdelavo arhivske in delovne kopije, uporabo zgoščenih vrednosti ter sprotno dokumentiranje postopka zbiranja in verige skrbništva.
3. 03PRIMARY DOCUMENTATIONScientific Working Group on Digital Evidence (SWGDE)
   SWGDE 23-F-004-1.1, Best Practices for Digital Evidence Acquisition, Preservation, and Analysis from Cloud Service Providers, različica 1.1, 13. januar 2025. Dokument obravnava posebnosti pridobivanja podatkov iz oblačnih storitev, omejitve različnih načinov dostopa, preverjanje obsega pridobitve, zgoščene vrednosti ter spremembe in dvoumnosti metapodatkov po prenosu ali sinhronizaciji.
4. 04STANDARDNational Institute of Standards and Technology (NIST)
   NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response, 2006. Publikacija ostaja na NIST CSRC objavljena kot končna različica. Zaradi starosti jo članek uporablja kot dopolnilni vir za osnovna načela digitalne forenzike, ne kot glavno sodobno podlago.
5. 05PRIMARY DOCUMENTATIONNational Institute of Standards and Technology (NIST)
   NIST Forensic Science Lexicon, Hash, Hash Value, terminološki zapis iz leta 2025. NIST opredeljuje zgoščeno vrednost kot numerični niz, ki se uporablja za potrjevanje integritete digitalnega gradiva ter za primerjalne postopke.