Методи та інструменти для криміналістичного розслідування електронної пошти

Криміналістичне розслідування електронних листів – це глибоке вивчення джерела та вмісту, що міститься в електронних листах. Дослідження включає ідентифікацію фактичного відправника та одержувача відповідних електронних листів, мітку часу передачі електронної пошти, наміри пошти, запис повної транзакції електронної пошти. Розслідування електронних листів виявляється корисним у таких випадках, як зловживання електронною поштою, фішинг електронної пошти, шахрайство електронної пошти та інші випадки, коли використання електронної пошти є наклеп. Частини перевірки електронної пошти включають пошук за ключовими словами, дослідження метаданих, сканування порту тощо.

Техніки для розслідування електронної пошти

Нижче наведено різні методи, які застосовуються для ефективного та безперебійного розслідування електронної пошти.

1) Аналіз заголовка електронної пошти

Аналіз заголовка Це робиться для того, щоб отримати інформацію про відправника пошти, а також шлях, через який електронний лист було передано. Зазвичай метадані електронних листів зберігаються в заголовках. Іноді ці заголовки можуть бути підроблені, щоб приховати справжню особу відправника.

2) Тактика приманки

Це процес відстеження IP-адреси відправника конкретної пошти, що розглядається. У цій техніці лист, що містить тег http: “$lt;img src>”, надсилається на поштову адресу, з якої було отримано лист. Одержувач у цьому випадку є винуватцем. Коли лист відкривається, поштовий сервер, на якому розміщено зображення, записує журнал, що містить IP-адресу одержувача, і одержувач відстежується. Якщо одержувач використовує проксі-сервер, записується адреса проксі-сервера.

3) Вилучення із сервера

Перевірка сервера стає зручною, коли електронні листи, що знаходяться на сторонах відправника та одержувача, видаляються назавжди. Оскільки сервери ведуть журнал надісланих та отриманих електронних листів, дослідження журналу генеруватиме всі видалені листи. Крім того, журнали можуть надати інформацію про джерело, з якого були згенеровані електронні листи. Перевірка сервера не означає, що всі очищені електронні листи можуть бути вилучені. Це пов’язано з тим, що після певного періоду зберігання листи назавжди видаляються з сервера.

4) Дослідження мережевих джерел

Це дослідження вибирається, коли журнали сервера не можуть створити необхідну інформацію. Крім того, якщо Інтернет-провайдери не надають доступ до сервера, вибирається дослідження мережевих джерел. Журнали, створені мережевими концентраторами, маршрутизаторами, брандмауерами тощо, надають інформацію про походження повідомлення електронної пошти.

Популярні інструменти, застосовані для розслідування електронної пошти

Існує ряд інструментів розслідування електронної пошти, які допомагають у повному процесі розслідування. Ці інструменти створюють автоматизовані звіти про розслідування, визначають походження та призначення електронних листів та багато іншого. Деякі інструменти, які є частиною цього домену:

1) EnCase

Корпус дає можливість слідчим створити зображення накопичувача та зберегти його у форматі E01, який може бути досліджений судовим шляхом, а також може бути представлений в суді як доказ.

2) ФТК

Судово-методичний посібник є комплексним інструментом розслідування, відомим для криміналістичного розслідування електронних листів за допомогою розшифровки в електронних листах.

3) MailXaminer

MailXaminer — це вдосконалений інструмент дослідження електронної пошти, який підтримує понад 20 форматів електронної пошти та близько 750 форматів MIME. Інструмент оснащений такими чудовими функціями, як:

• Попередній пошук за ключовими словами
• Аналіз посилань електронних листів
• Аналіз тону шкіри
• Аналіз поштової скриньки Live Exchange та багато іншого.

Інструмент виділяє докази найбільш ефективним способом і створює повний звіт про докази.

Висновок

Правильні методи та інструменти, якщо вони використовуються в криміналістичному розслідуванні електронних листів, дозволяють отримати потенційні докази за дуже короткий проміжок часу. Тому для виконання розширеного дослідження електронної пошти необхідно розгорнути відповідний інструмент.