Digital Forensics Integrity

การรับรองความถูกต้องสมบูรณ์ของนิติวิทยาศาสตร์ดิจิทัล: ความสำคัญของห่วงโซ่การคุ้มครองหลักฐานดิจิทัล

ห่วงโซ่การคุ้มครองหลักฐานดิจิทัล  เป็นแนวคิดที่สำคัญในนิติเวชดิจิทัลและระบบตุลาการสมัยใหม่

​วัตถุประสงค์หลักคือเพื่อให้แน่ใจว่าที่มาของหลักฐานดิจิทัลนั้นถูกต้องตามกฎหมาย ไม่ได้รับการแก้ไข และสามารถยอมรับฟังในชั้นศาลได้  หลักการชั่งน้้าหนักและการรับฟังพยานหลักฐานดิจิตอล 

มีการกำหนดให้มีการจัดทำเอกสารทุกอย่างที่เกี่ยวข้องกับหลักฐานดิจิทัล และสรุปรายละเอียดดังนี้:

• การรวบรวม
• โอนขนย้าย
• ลำดับของการควบคุม
• การวิเคราะห์
• ใครรับผิดชอบหริอเกี่ยวข้องกับหลักฐาน 
• วันที่และเวลาของเหตุการณ์
• วัตถุประสงค์

หากละเว้นรายละเอียดเฉพาะใดๆ เกี่ยวกับการจัดการหลักฐานดิจิทัล คุณภาพนั้นอาจถูกตั้งคำถาม และศาลอาจตัดสินว่าไม่เป็นที่ยอมรับ

ในการบังคับใช้กฎหมาย คุณมักจะเผชิญกับสถานการณ์ที่ต้องมีความเข้าใจพื้นฐานเป็นอย่างน้อยว่าห่วงโซ่การควบคุมตัวสำหรับหลักฐานดิจิทัลคืออะไร และจะรักษาไว้อย่างไรเพื่อไม่ให้หลักฐานเสียหายซึ่งมีความสำคัญต่อคดี

เพื่อให้ปัญหาที่ซับซ้อนนี้เข้าใจได้ง่ายขึ้น เราได้เตรียมคำแนะนำที่ครอบคลุมเพื่อให้คุณปฏิบัติตาม

• ความสำคัญของการรักษาห่วงโซ่การรักษาการคุ้มครองหลักฐานดิจิทัล
• หลักการ“ห่วงโซ่การคุ้มครองพยานหลักฐาน
• กระบวนการห่วงโซ่การคุ้มครองพยานหลักฐาน
• การกรอกแบบฟอร์ม CoC คือการตอบคำถามที่สำคัญ
• สิ่งที่ควรทำและไม่ควรทำในการทำงานกับหลักฐานดิจิทัล
• บทสรุป

ความสำคัญของการรักษาห่วงโซ่การคุ้มครองหลักฐานดิจิทัล

ห่วงโซ่การคุ้มครองหลักฐานดิจิทัลในการสืบสวนคดีอาญาเป็นพื้นฐานในการตัดสินลงโทษผู้กระทำผิดและนำพวกเขาเข้าสู่กระบวนการยุติธรรม การไม่ปฏิบัติตามระเบียบการและคุณมีความเสี่ยงที่ผิดกฎหมาย

 ทั้งในกระบวนการนิติเวชดิจิทัลหรือในระบบกฎหมาย เหตุใดห่วงโซ่การอารักขาจึงมีความสำคัญ?

ผู้ตรวจพิสูจน์หลักฐาน

ผู้ตรวจสอบนิติเวชดิจิทัลอาจทำการวิเคราะห์หลักฐานดิจิทัลในรูปทรงและรูปแบบต่าง ๆ ในขณะที่ทำงานกับข้อมูลที่ได้รับจากอุปกรณ์ต่าง ๆ เช่น:

• แฟลชไดรฟ์
• อุปกรณ์ไอโอที
• ฮาร์ดไดรฟ์
• วีดีโอ
• เสียง
• ฯลฯ

สมมติว่างานต้องการได้รับข้อมูลเมตา (metadata)จากไฟล์รูปภาพ แต่เมื่อตรวจสอบอย่างละเอียดแล้ว ดูเหมือนว่าคุณจะไม่พบอะไร เลย อย่างไรก็ตาม นี่ไม่ได้แปลว่าคุณกำลังล้มเหลวเสมอไป หลักฐานทางนิติวิทยาศาสตร์ดิจิทัลที่คุณกำลังมองหาอาจอยู่ที่อื่น และคุณอาจค้นพบได้โดยการติดตามห่วงโซ่การคุ้มครองพยานหลักฐาน

โปรดจำไว้ว่าข้อมูลดังกล่าวมีข้อมูลสำคัญเกี่ยวกับ:

• ต้นกำเนิดของมัน
• ใครเป็นคนจัดการ
• ใช้อุปกรณ์อะไร
• ฯลฯ

เพื่อให้ได้เบาะแสที่คุณกำลังมองหา บางทีคุณอาจพบว่าคุณอาจต้องใช้เครื่องมือนิติเวชดิจิทัลที่แตกต่างจากที่คุณใช้อยู่ในปัจจุบัน นี่คือเหตุผลว่าทำไมห่วงโซ่การคุ้มครองพยานหลักฐานจึงเป็นมากกว่าสิ่งที่เห็น

ศาล

แม้ว่าหน้าที่ของศาลจะไม่ได้เป็นผู้นำการสืบสวนทางนิติเวช แต่ก็มีหน้าที่รับผิดชอบในการตรวจสอบให้แน่ใจว่าหลักฐานดิจิทัลในการสืบสวนคดีอาญาเป็นที่ยอมรับได้ และความสมบูรณ์ของหลักฐานโดยไม่ต้องสงสัย ในกรณีที่ขาดการเชื่อมโยงในห่วงโซ่การคุ้มครองพยานหลักฐาน ศาลอาจพิพากษาเพิกถอนพยานหลักฐานดิจิทัลได้

รักษาหลักฐาน 

เมื่อจัดการกับหลักฐานดิจิทัล คุณไม่ควรทำผิดพลาดในการทำงานกับเอกสารต้นฉบับ ทำสำเนาแทน นี่คือสิ่งที่คุณจะดำเนินการโดยไม่ต้องกังวลว่าต้นฉบับจะเสียหาย เหตุผลก็คือ คุณต้องการให้มีตัวเลือกในการเปรียบเทียบเวอร์ชันแก้ไขกับเวอร์ชันต้นฉบับอยู่เสมอ เพื่อขจัดความคลาดเคลื่อนใดๆ

ถ่ายภาพและภาพหน้าจอ

นี่เป็นหนึ่งในขั้นตอนกระบวนการนิติวิทยาศาสตร์ดิจิทัลที่สำคัญ การทำเช่นนี้ ผู้เชี่ยวชาญด้านหลักฐานดิจิทัลที่จะตรวจสอบหลังจากที่คุณจะมีความเข้าใจที่ดีขึ้นเกี่ยวกับสิ่งที่คุณกำลังทำ และเห็นภาพรวมขั้นตอนการทำงานของคุณ

จัดทำเอกสารเวลาและวันที่รับ

วิธีนี้ช่วยให้คุณเข้าใจขั้นตอนต่างๆ ในนิติคอมพิวเตอร์ และเห็นภาพลำดับเวลาของผู้ตรวจสอบหลักฐานดิจิทัล นอกจากนี้ คุณจะรู้ว่ามันอยู่ที่ไหนในทุกย่างก้าวก่อนที่หน่วยงานบังคับใช้กฎหมายจะเข้ามาตรวจสอบ

จัดทำสำเนาหลักฐานดิจิทัล(digital forensic image)

รูปภาพดังกล่าวจะเป็นการลอกเลียนแบบต้นฉบับเล็กน้อย และนี่คือสิ่งที่คุณจะอัปโหลดลงในคอมพิวเตอร์เพื่อตรวจสอบ หากคุณกำลังมองหาเครื่องมือนิติเวชดิจิทัลระดับมืออาชีพที่ช่วยให้คุณทำเช่นนี้ได้

ตรวจสอบความถูกต้องของภาพผ่านการวิเคราะห์แฮช

ทั้งนี้เพื่อวัตถุประสงค์ในการรับรองความถูกต้องเพิ่มเติม โปรดจำไว้ว่าผู้เชี่ยวชาญด้านหลักฐานดิจิทัลจำเป็นต้องตรวจสอบให้แน่ใจว่าข้อมูลไม่เสียหายและแสดงถึงสำเนาที่แท้

กระบวนการห่วงโซ่การคุ้มครองพยานหลักฐาน

เพื่อให้คุณเห็นภาพคร่าวๆ ของกระบวนการนิติเวชดิจิทัล และวิธีที่ห่วงโซ่การคุ้มครองพยานหลักฐานดิจิทัลเข้ากันได้ เราจะแนะนำคุณผ่านขั้นตอนต่างๆ การทำตามขั้นตอนที่ระบุไว้ด้านล่างนี้ จะเป็นเรื่องยากมากสำหรับศาลใดๆ ที่จะตัดสินว่าหลักฐานดังกล่าวไม่สามารถยอมรับได้

1. การรวบรวมข้อมูล 

นี่เป็นขั้นตอนแรกสุดในกระบวนการห่วงโซ่การดูแลพยานหลักฐานดิจิทัล มันเกี่ยวข้องกับ:

• ระบุหลักฐาน
• การติดฉลาก หรือหมายเลข
• การบันทึก
• การสำเนาข้อมูลจากหลักฐานดิจิทัล 

ทั้งนี้เพื่อรักษาความสมบูรณ์ของหลักฐาน

2. การตรวจสอบ

ขั้นตอนกระบวนการนิติเวชดิจิทัลที่เกี่ยวข้องกับการตรวจสอบล้วนเกี่ยวกับการจัดทำเอกสารทุกอย่าง ในทางปฏิบัติ ข้อมูลเชิงลึกเกี่ยวกับขั้นตอนการทำงานของผู้ตรวจสอบนิติเวชดิจิทัล และงานใดบ้างที่เสร็จสิ้นแล้ว

3.การวิเคราะห์

หลักฐานดิจิทัลเกี่ยวข้องกับการประเมินข้อมูลที่ดึงมาจากอุปกรณ์ การใช้เครื่องมือนิติเวชดิจิทัลระดับอุตสาหกรรมที่ซับซ้อน เช่น   ทำให้สามารถสร้างเหตุการณ์ขึ้นมาใหม่ได้ตรงตามที่เกิดขึ้น

4.การรายงาน

ขั้นตอนการรายงานเกี่ยวข้องกับการเขียนรายงานนิติเวชดิจิทัล ที่สอดคล้องกับมาตรฐานทางกฎหมาย ควรครอบคลุมสิ่งต่อไปนี้:

• เครื่องมือนิติเวชดิจิทัลที่ใช้ในกระบวนการ
• ห่วงโซ่การคุ้มครองหลักฐานดิจิทัล
• คำอธิบายของแหล่งข้อมูล
• ปัญหาและช่องโหว่ใด ๆ ที่ระบุ
• ข้อเสนอแนะเกี่ยวกับมาตรการเพิ่มเติมที่ต้องดำเนินการ

การเขียนรายงานนิติเวชดิจิทัลอาจใช้เวลานานและต้องใช้เวลาทำงานเป็นจำนวนมาก 

การกรอกแบบฟอร์ม CoC คือการตอบคำถามที่สำคัญ

เพื่อกรอกแบบฟอร์มให้ถูกต้อง คุณจะต้องตอบคำถามบางข้อที่เกี่ยวข้องกับกระบวนการคุ้มครองหลักฐานดิจิทัล

• หลักฐานมีอะไรบ้าง?
• ใครเป็นคนจัดการมัน?
• ใครเป็นคนขนส่งมัน?
• ใครบ้างที่สามารถเข้าถึงได้?
• มันได้มาอย่างไรและเมื่อไหร่?
• เก็บไว้ที่ไหนและอย่างไร?
• สามารถติดตามได้หรือไม่?

ทุกครั้งที่ผู้ตรวจสอบพยานหลักฐานคนหนึ่งจากแผนกของคุณทำอะไรก็ตาม ทุกการกระทำที่เกี่ยวข้องกับกิจกรรมจะต้องมีการบันทึกไว้โดยละเอียด

สิ่งที่ควรทำและไม่ควรทำในการทำงานกับหลักฐานดิจิทัล

เนื่องจากการไม่ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดในการทำงานกับหลักฐานดิจิทัลอาจทำให้ศาลไม่อาจยอมรับได้ ใครก็ตามที่เกี่ยวข้องกับกระบวนการสืบสวนด้านนิติเวชดิจิทัลจึงควรปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดด้านล่างนี้

ทำ: บันทึกทุกอย่าง

ในกระบวนการสืบสวนทางนิติวิทยาศาสตร์ดิจิทัล คุณควรบันทึกทุกอย่าง รวมถึงสภาพทางกายภาพของอุปกรณ์ด้วย ถ่ายรูปว่าอยู่ในสภาพใดเมื่อคุณพบมัน

มีรอยแตก รอยบุบ หรือมีรอยขีดข่วนหรือไม่? มันเปียกน้ำหรือเปล่า?

คุณควรจดบันทึกด้วยว่าคุณพบเครื่องมือใด ๆ ในบริเวณใกล้เคียงที่ระบุว่าอาจมีคนเข้าไปยุ่งเกี่ยวกับเครื่องมือเหล่านั้นหรือไม่

อย่า: ทำงานกับต้นฉบับ

เพื่อหลีกเลี่ยงไม่ให้ข้อมูลต้นฉบับเสียหายหรือทำการเปลี่ยนแปลงที่ไม่อาจเพิกถอนได้ ผู้เชี่ยวชาญด้านหลักฐานดิจิทัลควรเลือกที่จะสร้างภาพทางนิติเวชดิจิทัลแทน ปัญหาอีกประการหนึ่งในการพยายามทำงานกับต้นฉบับคือคุณเสี่ยงที่จะลบข้อมูลเมตาอันมีค่าที่จัดเก็บไว้ในนั้น

เนื่องจากมีบันทึกเกี่ยวกับไฟล์ที่ถูกเข้าถึงและเวลาที่มีคนคัดลอกหรือไม่ และเมื่ออุปกรณ์ถูกปิด มันจึงมีความสำคัญอย่างยิ่งต่อการไขปัญหาของเคส

สิ่งที่ควรทำ: ใช้เครื่องเฉพาะหรือสภาพแวดล้อมเสมือน

เมื่อจัดการกับหลักฐานดิจิทัลในการสืบสวนคดีอาญา แนวปฏิบัติที่ดีที่สุดคือทำให้เป็นแบบออฟไลน์ คุณควรพิจารณาสร้างสภาพแวดล้อมเสมือนเพื่อป้องกันไม่ให้มัลแวร์ติดเครื่อง

โปรดทราบว่าอาจมีบางคนพยายามยุ่งเกี่ยวกับหลักฐานจากระยะไกล ตัวอย่างนี้ก็คือเจ้าของพยายามลบบันทึกคอมพิวเตอร์ผ่านทางอินเทอร์เน็ต

อย่า: พยายามทำโดยไม่มีผู้เชี่ยวชาญด้านนิติเวชดิจิทัล

เนื่องจากสิ่งที่คุณทำอาจเป็นอันตรายต่อความสมบูรณ์ของข้อมูลและทำให้หลักฐานดิจิทัลไม่สามารถยอมรับได้ในศาล คุณจึงไม่ควรดำเนินการสอบสวนโดยไม่มีผู้เชี่ยวชาญด้านนิติดิจิทัลอยู่ด้วย

แม้ว่าเจ้าหน้าที่ไอทีและเจ้าหน้าที่บังคับใช้กฎหมายคนอื่นๆ จะสามารถมีส่วนร่วมได้โดยช่วยคุณรวบรวมข้อมูลและรักษาความปลอดภัยของหลักฐาน แต่คุณไม่ควรพยายามดำเนินการเรื่องนี้โดยไม่ได้รับการดูแลและคำแนะนำจากผู้เชี่ยวชาญด้านหลักฐานดิจิทัลหรือผู้เชี่ยวชาญที่มีคุณสมบัติเหมาะสมอื่นๆ

สิ่งที่ควรทำ: เก็บอุปกรณ์อย่างเหมาะสม

เนื่องจากอุปกรณ์ที่มีหลักฐานดิจิทัลอาจมีความไวต่อปัจจัยด้านสิ่งแวดล้อม เช่น ความร้อนและความชื้น คุณจึงควรตรวจสอบให้แน่ใจว่าอุปกรณ์เหล่านั้นถูกจัดเก็บในสภาพแวดล้อมที่เหมาะสม

นอกจากนี้อย่าเก็บไว้ในพื้นที่ที่เปิดโล่ง สิ่งนี้อาจทำให้คุณเสี่ยงต่อการที่บุคคลที่ไม่ได้รับอนุญาตพยายามจะยุ่งเกี่ยวกับมันหรือเปลี่ยนแปลงมันในทางใดทางหนึ่ง

อย่า: เปลี่ยนสถานะพลังงานของอุปกรณ์

ตราบใดที่การสืบสวนทางนิติวิทยาศาสตร์ดิจิทัลยังดำเนินอยู่ คุณไม่ควรเปลี่ยนสถานะพลังงานของอุปกรณ์ กล่าวอีกนัยหนึ่ง หากเปิดอยู่ ให้ปล่อยทิ้งไว้ หากปิดอยู่ อย่าพยายามบู๊ต

สาเหตุก็คือในระหว่างการเริ่มต้นอุปกรณ์ กระบวนการบางอย่างจะถูกเปิดใช้งานโดยอัตโนมัติ ซึ่งบางกระบวนการสามารถล้างแคช เขียนทับพื้นที่ที่ไม่ได้ใช้ และแก้ไขหรืออัปเดตข้อมูลเมตาที่อยู่ในนั้น

บทสรุป

การรักษาห่วงโซ่การคุ้มครองหลักฐานดิจิทัลจะทำให้คุณรู้สึกเหมือนกำลังฝ่าทุ่นระเบิด ข้อผิดพลาดเพียงครั้งเดียวและการสืบสวนทั้งหมดอาจตกอยู่ในอันตรายและหลักฐานทางดิจิทัลจะถูกทำลาย

ดังนั้นจึงเป็นเรื่องสำคัญอย่างยิ่งที่จะต้องปฏิบัติตามระเบียบการและปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดที่ใช้กับกระบวนการสืบสวนทางนิติวิทยาศาสตร์ดิจิทัล

อ่านเพื่มเติม:  

• การรับฟังพยานหลักฐานดิจิทัลในคดีอาญา
• การรับฟังและชั่งน้ำหนักพยานหลักฐาน
• การรับฟังข้อมูลอิเล็กทรอนิกส์เป็นพยานหลักฐาน
• แบบฟอร์มการเก็บรักษาพยานหลักฐาน
• Chain of Custody

ความเข้าใจเกี่ยวกับ ห่วงโซ่การคุ้มครอง-พยานหลักฐาน (chain of custody) รายงานทางนิติวิทยาศาสตร์ 

ที่มา:The Significance of Chain of Custody Cyber Security

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

DIGITAL FORENSICS: การสืบพยานข้อมูลที่ซ่อนอยู่ในโทรศัพท์มือถือและคอมพิวเตอร์

DIGITAL FORENSICS: การสืบพยานข้อมูลที่ซ่อนอยู่ในโทรศัพท์มือถือและคอมพิวเตอร์

ขออนุญาตแชร์  ท่านอาจารย์. ดร.ธีร์รัฐ ไชยอัคราวัชร์

“การสืบพยานข้อมูลที่ซ่อนอยู่ในโทรศัพท์มือถือและคอมพิวเตอร์” (repost)

ข้อเขียนนี้น่าจะเป็นประโยชน์ ต่อทนายความ และประชาชนที่ยังไม่รู้นะครับ..

#ข้อมูลคอมพิวเตอร์คืออะไร..

ข้อมูลคอมพิวเตอร์นี้..บางทีเรียกว่า ข้อมูลอิเล็คทรอนิกส์ .. บางทีก็เรียกว่า..ข้อมูลดิจิตัล.. เป็นข้อมูลที่เกิดจากการทำงานของระบบคอมพิวเตอร์..
ในส่วนของโทรศัพท์มือถือนั้น ปัจจุบันเป็นระบบดิจิตัลหมดแล้ว.. โทรศัพท์มือถือ จึงเป็นระบบคอมพิวเตอร์ตามความหมายนี้ด้วย..

ข้อมูลคอมพิวเตอร์ หมายถึง ข้อมูลไฟล์ดิจิตัล.. ที่เป็นเสียง.. เป็นรูปภาพ.. เป็นคลิปวีดิโอ.. เป็นข้อความอักษร..เป็นข้อมูลการติดต่อสื่อสารภายในระบบ..

#ข้อมูลคอมพิวเตอร์แบ่งออกเป็นสองประเภท..ได้แก่..

ข้อมูลที่มองเห็นได้ด้วยตาเปล่า.. กับข้อมูลที่มองไม่เห็นด้วยตาเปล่า เพราะถูกลบ หรือซ่อนอยู่..

1. ข้อมูลที่มองเห็นได้ด้วยตาเปล่า ก็เช่น ข้อความสนทนา.. หรือรูปถ่าย..ในไลน์ ในเฟส ในเพจ .. หมายเลขโทรเข้าออก.. รายชื่อเพื่อนในเฟส ..รายชื่อเพื่อนในอีเมลล์..เป็นต้น

2. ข้อมูลที่มองไม่เห็นด้วยตาเปล่า ก็เช่น ข้อมูลการเข้าเวปไซต์.. ข้อมูลการติดต่อสื่อสารของโทรศัพท์กับผู้ให้บริการเครือข่าย.. ข้อมูลรูปภาพที่ซ่อนไว้.. ข้อมูลที่ลบหรือฟอร์แมทฮาร์ดดิสไปแล้ว.. หรือไฟล์เสียงสนทนาทางโทรศัพท์ที่เราไม่ได้ตั้งใจบันทึกไว้ แต่ระบบบันทึกไว้เอง เป็นต้น

ข้อมูลที่มองไม่เห็นนี้ ถ้าเป็นข้อมูลติดต่อสื่อสาร (กฎหมายใช้คำว่า ข้อมูลจราจร) ซึ่งอยู่ในเซิร์ฟเวอร์ ของผู้ให้บริการเชื่อมต่อเครือข่าย (ISP) ..หรืออยู่ที่เสาส่งสัญญาณโทรศัพท์ (cellsite) .. เจ้าหน้าที่จะต้องร้องขอหรือเรียกให้ ISP ส่งมาให้..

แต่ถ้าเป็นข้อมูลที่อยู่ใน hardisk ของเครื่องคอมพิวเตอร์ หรือหน่วยความจำของโทรศัพท์มือถือเอง.. เจ้าหน้าที่ผู้เชี่ยวชาญต้องใช้โปรแกรมพิเศษในการช่วยค้นหาตรวจสอบ..

พยานหลักฐานที่ผมจะเล่าให้ฟังต่อไปในข้อเขียนนี้ ..จะหมายถึง พยานที่เป็นข้อมูลที่มองไม่เห็นด้วยตาเปล่าเท่านั้นนะครับ..

#ผู้เชี่ยวชาญที่ตรวจสอบคอมพิวเตอร์คือใคร..

คำว่าผู้เชี่ยวชาญนี้.. ไม่ใช่ผู้มีความรู้ทางคอมพิวเตอร์ ที่สามารถซ่อมเครื่องได้ตามร้านค้า หรือผู้ดูแลระบบคอมฯตามบริษัทนะครับ..

แต่หมายถึง เจ้าพนักงานตำรวจที่มีหน้าที่โดยตรง (กองพิสูจน์หลักฐาน) หรือพนักงานเจ้าหน้าที่ฝ่ายสืบสวนสอบสวน (สถาบันนิติวิทย์ฯ, กระทรวงดิจิตัล) เป็นต้น

#โปรแกรมที่ใช้สำหรับตรวจสอบคอมพิวเตอร์คืออะไร

เครื่องมือ โปรแกรมและอุปกรณ์ที่ใช้ตรวจสอบคอมพิวเตอร์และโทรศัพท์มือถือ เป็น software ชนิดหนึ่งที่ใช้สำหรับตรวจพิสูจน์พยานหลักฐานคอมพิวเตอร์ (computer forensic) โดยเฉพาะ เป็นของต่างประเทศครับ..
ไม่มีขายตามท้องตลาด.. เพราะเขาจะขายให้กับหน่วยงานของรัฐที่มีหน้าที่สืบสวนสอบสวนปราบปรามการกระทำผิดเท่านั้น..

เครื่องมือที่เจ้าหน้าที่ใช้กู้ข้อมูล หรือดึงข้อมูลต่างๆขึ้นมาใหม่.. คือ ซอฟท์แวร์.. ชื่อ Encase (เอ็น-เคส) และ FTK ...
แต่ที่ได้รับความนิยมมาก คือ “Encase” ..

Encase

#ความสามารถของโปรแกรมตรวจพิสูจน์คอมพิวเตอร์..

ข้อมูลการกระทำผิดที่มองไม่เห็นนี้.. บางทีผู้กระทำผิดซ่อนไฟล์ไว้..ใส่รหัส.. จงใจลบเพื่อทำลายหลักฐาน.. หรือระบบอาจลบเองจากการบันทึกวนทับไปแล้ว..(เช่น cctv) ..

แต่ Encase หรือ FTK สามารถค้นหาข้อมูลที่ถูกซ่อน.. ถูกเปลี่ยนแปลง.. ถูกแก้ไข.. ถูกเข้ารหัส.. ถูกลบ.. หรือถูกฟอร์แมทเครื่องไป ขึ้นมาดูใหม่ได้อีก..

#ความสำคัญของพยานผู้ตรวจพิสูจน์..

ข้อมูลที่ได้จากการตรวจพิสูจน์ จะปรากฎในรายงานการตรวจพิสูจน์ ซึ่งโดยทั่วไป จะมีผู้ตรวจพิสูจน์มาเบิกความประกอบ ..เป็นพยานผู้เชี่ยวชาญ (พยานโจทก์) ..

พยานผู้เชี่ยวชาญ เป็นผู้ตรวจพิสูจน์พยานหลักฐานที่มีความรู้มากที่สุด.. มีความใกล้ชิด..และเข้าไปยุ่งเกี่ยวกับพยานหลักฐานมากที่สุด ..

พยานปากนี้จึงมีความสำคัญมากที่สุด เพราะกำความลับที่คนอื่นไม่รู้ไว้ทุกอย่าง..

หากทนายจำเลย ไม่มีความรู้เพียงพอ.. ก็ไม่รู้จะถามค้านเรื่องไหน..
ในที่สุดก็มักจบลงที่.. “ไม่ถามครับ” หรือ ยอมรับข้อเท็จจริงตามรายงานการตรวจพิสูจน์โดยไม่ต้องสืบพยานปากนี้เลย..

ส่วนอัยการนั้น หากไม่มีความรู้เพียงพอ.. เขาก็ยังพอจะถามความได้ เพราะเป็นการถามพยานฝ่ายตนให้เล่าเรื่องให้ศาลฟังเท่านั้น.. ไม่ใช่การถามค้าน.. เพื่อทำลายน้ำหนักพยาน..

สำหรับศาลนั้น หากท่านไม่มีความรู้เพียงพอ.. ท่านอาจจะปล่อยให้คำถามสำคัญที่มีผลต่อการชั่งน้ำหนักพยานหลักฐาน.. ต้องหลุดลอยไปโดยไม่รู้ตัว..เพราะไม่มีใครถาม..

#ขั้นตอนการตรวจพิสูจน์

1. ก่อนใช้ Encase ในการตรวจพิสูจน์..เจ้าหน้าที่ต้องยึดเครื่องคอมพิวเตอร์ หรือโทรศัพท์มือถือไว้เป็นของกลางก่อน..

2. เจ้าหน้าที่จะไม่นำโปรแกรม Encase มาใช้กับเครื่องคอมพิวเตอร์ หรือเครื่องโทรศัพท์นั้นโดยตรง.. เพราะระหว่างตรวจพิสูจน์อาจทำให้หลักฐานที่เป็นของจริง (original) เสียหายได้
ทางปฎิบัติ จึงต้องทำสำเนา (copy) hard disk จากเครื่องคอมพิวเตอร์ที่เป็น original ก่อน..

3. จากนั้น จึงนำตัวสำเนา (copy) hard disk นั้น.. มาใส่ในเครื่องที่มีโปรแกรม Encase ติดตั้งอยู่เพื่อตรวจสอบเนื้อหาภายในต่อไป..
เพราะหากเกิดผิดพลาด ก็ยังทำสำเนาใหม่จาก ตัว original มาทำการตรวจพิสูจน์ได้อีก..

4. ถ้าเป็นโทรศัพท์มือถือ .. ก็อาจใช้เครื่องตรวจสอบที่มี software Encase เป็นแบบพกพา ใช้ตรวจสอบวัตถุพยานนอกสถานที่ได้..

Forensic Image

#ข้อมูลคอมพิวเตอร์กับกฎหมายพยานหลักฐาน..

คำถามสำคัญมีเพียง 2 ข้อ ได้แก่..

1. ข้อมูลคอมพิวเตอร์ที่ได้จากการตรวจพิสูจน์นั้น ถูกตัดออกไป และต้องห้ามมิให้ศาลรับฟัง (exclusionary rules) หรือไม่..
ตาม ปวิอ. มาตรา 226, 226/1

ข้อมูลคอมพิวเตอร์ที่เกิดขึ้นโดยมิชอบ หรือได้มาโดยมิชอบ ก็อาจถูกตัดออกไป และห้ามมิให้ศาลรับฟังเพื่อชั่งน้ำหนักความน่าเชื่อถือได้..
และมีผลเท่ากับว่า คดีนั้น ไม่มีหลักฐานชิ้นนั้นปรากฎอยู่..
.. เช่น..

#ตัวอย่างข้อมูลคอมพิวเตอร์เป็นพยานที่เกิดขึ้นโดยมิชอบ

เจ้าหน้าที่กลั่นแกล้งจำเลยโดยใส่ข้อมูล ข้อความ รูปภาพ เข้าไปในระบบคอมพิวเตอร์หรือในโทรศัพท์มือถือ..
ทำให้เชื่อว่า จำเลยโพสต์ข้อความหมิ่นประมาท.. ตั้งเวปไซต์ที่ผิดกฎหมาย.. มีรูปลามกเด็กไว้ในครอบครอง..เป็นต้น

นั่นคือ การสร้างพยานหลักฐานเท็จ..เรียกว่า ข้อมูลนั้นเป็นพยานหลักฐานที่เกิดขึ้นโดยมิชอบ.. ข้อมูลนั้น ศาลจะไม่นำมารับฟัง..

#ตัวอย่างข้อมูลคอมพิวเตอร์เป็นพยานที่ได้มาโดยมิชอบ

เจ้าหน้าที่ไม่มีเจตนาชั่วร้าย .. ไม่ได้กลั่นแกล้ง ..แต่ไม่ทำตามขั้นตอนที่กฎหมายกำหนดบังคับ เช่น

พรบ. กระทำความผิดเกี่ยวกับคอมพิวเตอร์.. พรบ. ป้องกันและปราบปรามการกระทำความผิดเกี่ยวกับยาเสพติด.. พรบ การสอบสวนคดีพิเศษ (DSI).. พรบ ป้องกันและปราบปรามการทุจริตแห่งชาติ (ปปช.).. และพรบ.ป้องกันและปราบปรามการค้ามนุษย์ .. เป็นต้น

กฎหมายเหล่านี้ ให้อำนาจเจ้าหน้าที่เข้าถึงระบบคอมพิวเตอร์ (เจาะระบบ) ของคนอื่น.. เพื่อการสืบสวนสอบสวนได้..
แต่การเข้าถึงระบบคอมพิวเตอร์ของผู้อื่นนั้น .. เป็นการละเมิดสิทธิส่วนบุคคล คล้ายกับการค้น..

กฎหมายจึงบังคับให้ เจ้าหน้าที่ต้องขออนุญาตศาลก่อนว่า มีความจำเป็นและสมควรต้องใช้วิธีการนั้นหรือไม่.. ทั้งนี้ เพื่อคุ้มครองสิทธิให้แก่ประชาชนตามหลักนิติธรรม (due process)..

ดังนั้น หากเจ้าหน้าที่เข้าถึงระบบคอมพิวเตอร์ของบุคคลใด โดยไม่ร้องขออนุญาตจากศาลก่อน..
ข้อมูลคอมพิวเตอร์ที่ได้มา.. ถือว่า เป็นพยานหลักฐานที่ได้มาโดยมิชอบ.. ต้องถูกตัด และต้องห้ามมิให้ศาลรับฟังเช่นเดียวกัน..
.. เช่น ..

เจ้าหน้าที่ใช้โปรแกรมดูดดักรับข้อมูล ที่เรียกว่า “sniffer” (สนิฟ-เฟอร์)..ซึ่งเป็นความผิดตาม พรบ.คอมพิวเตอร์..

หรือเจ้าหน้าที่ตั้งเวปไซต์ หรือกลุ่มลับปลอม ที่เรียกว่า “Honey Pot”.. เพื่อล่อให้คนผิดเข้ามาติดกับ..ที่มิใช่การล่อให้กระทำผิดเพื่อแสวงหาพยานหลักฐาน (ล่อซื้อ)

การได้ข้อมูลมาโดยใช้วิธีการที่ผิดกฎหมาย หรือยุให้คนกระทำผิด ที่เรียกว่า “Entrapment” (เอน-แทรบ-เม้นท์) เหล่านี้..
อาจถือว่า เป็นการหลอกล่อ หรือกระทำโดยมิชอบ ทำให้ข้อมูลที่ได้มา ถูกตัดออกการดำเนินคดีเช่นเดียวกัน

ประเด็นที่ต้องพิจารณาต่อมาคือ...

2. ข้อมูลจากคอมพิวเตอร์หรือโทรศัพท์มือถือที่ได้มาโดยชอบและรับฟังได้แล้วนั้น..
..เป็นข้อมูลที่มีน้ำหนักความน่าเชื่อถือทำให้เชื่อได้โดยปราศจากสงสัยว่า.. เกิดความผิดขึ้นจริง.. และจำเลยเป็นคนกระทำผิดจริงหรือไม่..

#ลักษณะเฉพาะของพยานข้อมูลคอมพิวเตอร์..

พยานหลักฐานข้อมูลคอมพิวเตอร์ มีลักษณะพิเศษ แตกต่างจากพยานหลักฐานทั่วไปใหญ่ๆ 2 ประการ คือ

1. ข้อมูลคอมพิวเตอร์ เป็นพยานหลักฐานที่จับต้องไม่ได้ (Intangible Evidence) เพราะเป็นการทำงานของระบบอิเล็คทรอนิกส์ และกระแสแม่เหล็ก..

2. ข้อมูลคอมพิวเตอร์ เป็นพยานหลักฐานที่เปลี่ยนแปลงง่าย (Volatile Evidence) เพราะเป็นข้อมูลดิจิตัล.. แก้ไขง่าย และไร้ร่องรอย

ด้วยลักษณะพิเศษของพยานหลักฐานประเภทนี้ ทำให้ต้องอาศัยกระบวนการและมาตรฐานที่ชัดเจน เพื่อยืนยันว่า ข้อมูลคอมพิวเตอร์ ยังคงสภาพเดิม ไม่ถูกเปลี่ยนแปลงไปจากตอนเกิดเหตุ..
ไม่ว่าจะเกิดจากเจตนา หรือประมาท ในขั้นตอนการรวบรวม การเก็บรักษา และการวิเคราะห์ตรวจพิสูจน์พยานหลักฐานนั้น..

#หลักเกณฑ์การชั่งน้ำหนักว่าข้อมูลคอมพิวเตอร์ที่ได้มาจากการตรวจพิสูจน์มีความน่าเชื่อถือหรือไม่..

การชั่งน้ำหนักว่า พยานหลักฐานดิจิตัล ที่ได้จากระบบคอมพิวเตอร์ และโทรศัพท์มือถือนั้น น่าเชื่อถือหรือไม่.. จึงต้องพิจารณาว่า..

1. ขั้นตอนการเก็บรวบรวมพยาน.. ขั้นตอนการเก็บรักษาดูแลพยาน.. และขั้นตอนการวิเคราะห์ตรวจพิสูจน์พยานหลักฐานนั้น..
.. เป็นขั้นตอนที่ถูกต้อง (best practice) จนได้รับการยอมรับในวงการดังกล่าวหรือไม่ ..

2. เครื่องมือ และโปรแกรม (software) ที่ใช้ในการตรวจพิสูจน์ มีความทันสมัย และได้รับการยอมรับในวงการนั้นหรือไม่.. และ..

3. พยานหลักฐานที่ได้มา มีการแทรกแซงโดยบุคคลอื่น หรือกระบวนการที่ไม่เกี่ยวข้องหรือไม่
(Chain of custody)

หากขั้นตอนต่างๆ และเครื่องมือที่ใช้ถูกต้อง ได้มาตรฐาน และไม่มีการยุ่งเกี่ยวแทรกแซงพยานหลักฐานนั้น..
ก็ถือได้ว่า พยานหลักฐานข้อมูลที่ได้จากคอมพิวเตอร์หรือโทรศัพท์มือถือนั้น มีความน่าเชื่อถือ ในแง่ของการตรวจพิสูจน์แล้ว..

Chain of custody

#ตัวอย่างขั้นตอนการเก็บรวบรวมพยานในชั้นจับกุมและยึดพยานหลักฐาน..

1. การยึดคอมฯ จะต้องถอดปลั๊กและสายสัญญาณต่างๆออก.. และการจะตรวจพิสูจน์ ก็ต้องเชื่อมต่อสายสัญญาณใหม่เหมือนขณะเข้าตรวจยึด.
ขั้นตอนที่ถูกต้อง จึงต้องมีการถ่ายรูป จุดเชื่อมต่อสายสัญญาณต่างๆด้านหลังเครื่องไว้ก่อนยึด..

2. ถ้าเครื่องปิดอยู่.. ห้ามเปิด.. เพราะการเปิดเครื่องแต่ละครั้ง อาจมีการเปลี่ยนแปลงข้อมูลที่มีอยู่ก่อน

3. ถ้าเปิดอยู่.. อย่าเพิ่งปิด.. เพราะจะต้องถ่ายรูปหน้าจอ และทำสำเนาความจำสำรองของเครื่อง (RAM) ก่อน..
เพราะหลักฐานในการทำผิดอาจอยู่ในความจำสำรอง ไม่ใช่ใน hard disk .. การปิดเครื่องทุกครั้ง จะทำลายความจำสำรองหมด..

4. ปิดเครื่องก่อน.. หรือดึงปลั๊กก่อน.. อันนี้ขึ้นอยู่กับระบบปฏิบัติการของเครื่องคอมพิวเตอร์นั้นครับ
ถ้าผิดขั้นตอน อาจมีผลกระทบกับข้อมูลภายในเครื่อง..

5. การเคลื่อนย้ายของกลาง ต้องมีการห่อหุ้มพลาสติก ติดป้ายให้สอดคล้องกับบันทึก chain of custody..
ในกรณีสำคัญ ก่อนการเคลื่อนย้าย อาจต้องมีการตรวจวัดคลื่นแม่เหล็กไฟฟ้าก่อน ว่าเส้นทางใดที่มีคลื่นแรงและหลีกเลี่ยงการใช้เส้นทางนั้น เพื่อป้องกันผลกระทบต่อข้อมูลภายในเครื่อง เป็นต้น

Evidence

#ตัวอย่างขั้นตอนการเก็บ และดูแลรักษาข้อมูลในชั้นสอบสวนก่อนการตรวจพิสูจน์..

1. การเก็บเครื่องคอมพิวเตอร์ ต้องอยู่ในห้องควบคุมอุณหภูมิ..

2. การแยกเก็บจากพยานหลักฐานอื่นๆ..

Evidence Room

3. ไม่วางไว้ใกล้เครื่องไฟฟ้า ที่อาจส่งคลื่นแม่เหล็กไฟฟ้า .. เช่น ตู้เย็น พัดลม ที่อาจส่งผลกระทบต่อข้อมูลคอมพิวเตอร์ได้

4. ผู้รับมอบ ต้องลงนาม กำกับ พร้อมระบุเวลาในบันทึก เพื่อการตรวจสอบว่า มีการละเมิด chain of custody หรือไม่.. เป็นต้น

#ตัวอย่างขั้นตอนการตรวจพิสูจน์เครื่องคอมพิวเตอร์

1. ผู้ตรวจพิสูจน์ รับมอบ ลงนาม กำกับเวลาทำงาน และสิ้นสุด พร้อมคืนของกลางให้ผู้เก็บดูแลรักษา ในบันทึก chain of custidy..

2. ผู้ตรวจพิสูจน์ถ่ายวีดิโอแสดงให้เห็นกระบวนการตรวจวิเคราะห์..เพื่อยืนยันว่า ทำถูกต้องตามขั้นตอน..

3. ทำสำเนา hard disk จากตัว original .. โดยใช้โปรแกรมมาตรฐานที่น่าเชื่อถือ ชื่อ image

หากใช้โปรแกรมอื่น .. พยานที่ได้มาจะไม่น่าเชื่อถือในมุมมองของศาล ..เพราะสำเนาที่ได้อาจไม่สมบูรณ์หรือผิดพลาดได้..

4. การทำสำเนา hard disk จะต้องใช้ hard disk ตัวใหม่ที่ยังไม่ผ่านการใช้งานตรวจพิสูจน์ในคดีอื่นมาก่อน..
เพื่อป้องกัน Encase ดึงข้อมูลจาก hard disk เก่า มาปะปนกับข้อมูลใน hard disk ที่ทำสำเนาใหม่..

หากมีการใช้ hard disk เก่า มาทำสำเนา แม้จะ format มาแล้ว.. ถือว่า ไม่เป็นไปตามมาตรฐาน..
ข้อมูลที่ได้ จะเป็นพยานหลักฐานที่ไม่น่าเชื่อถือทันที..

5. #ข้อนี้สำคัญนะครับ..
การทำสำเนา hard disk เพื่อทำการตรวจพิสูจน์นี้.. จะต้องใช้กระบวนการ.. MD5..บางทีจะเรียกง่ายๆว่าเป็นโปรแกรมตัวหนึ่งก็ได้..

(ต่อมา MD5 .. เริ่มเชย เพราะได้ข่าวว่า .. ผู้เชี่ยวชาญแก้ไขการทำงานของ MD5 ได้.. จึงนิยมใช้ SHA1 แทน.. ต่อมาก็พัฒนาเป็น SHA 2.. เพิ่งทราบว่า ทุกวันนี้ มี MDA5.. และมี SH 256 ออกมาแล้ว
ไม่ต้องงง นะครับ.. เป็นอันว่า ทั้งหมดนี้ เอาไว้ทำ hashing ครับ)

#เขาทำ hashing เพื่ออะไร

Hashing โดย MD5 หรือ SHA คือการตรวจสอบยืนยันว่า หลังจากทำสำเนาแล้ว.. hard disk ที่ใช้ในการทำผิด (original) กับ hard disk ที่ทำสำเนาออกมา (copy) นั้น มีข้อมูลภายในตรงกัน 100%..

หากไม่เหมือนกัน 100% ซึ่งอาจเกิดจากความจงใจหรือผิดพลาด เช่น ใส่ข้อมูลบางอย่างลงไป หรือตัดข้อมูลบางอย่างออก..โปรแกรม MD5 จะมีการแจ้งความคลาดเคลื่อนให้ทราบ..

การใช้ MD5 ในการทำสำเนา.. จึงใช้ยืนยันได้ว่า.. เจ้าหน้าที่ทำตามขั้นตอนมาตรฐานสากล หรือไม่ได้กลั่นแกล้ง.. เปลี่ยนแปลง แก้ไข หรือใส่ข้อมูลการกระทำผิดลงไปในสำเนาเสียเอง..

ดังนั้น การทำ copy hard disk เพียงอย่างเดียว..โดยไม่ทำ MD5 .. แล้วนำข้อมูลการกระทำผิดที่ได้มาพิสูจน์ความผิด..
ศาลจะถือว่า ข้อมูลที่ได้ขาดความน่าเชื่อถือ..

รายงานการตรวจพิสูจน์ จึงควรระบุยืนยันว่า มีการทำ MD5 หรือใช้ software อื่นที่น่าเชื่อถือแล้ว พร้อมทั้งแสดงผล.

MD5

#ตัวอย่างบันทึกกระบวนการที่เกี่ยวข้องกับของกลาง (Chain of Custody)

ขั้นตอนทั้งหมด.. ตั้งแต่การจับ ยึด รวบรวมพยานหลักฐาน.. การเก็บไว้ระหว่างพิจารณาคดี..การตรวจพิสูจน์.. กระทำโดยผู้เกี่ยวข้องเท่านั้น..ไม่มีบุคคลที่ไม่เกี่ยวข้องเข้ามายุ่งเกี่ยวกับพยานหลักฐาน
ทางปฎิบัติ จะมีการทำบันทึก ลงเวลา ขั้นตอน และชื่อผู้ดำเนินไว้ เรียกกระบวนการนี้ว่า.. Chain of Custody

ถ้ากระบวนการนี้ไม่เป็นไปตามขั้นตอน หรือมีบุคคลภายนอกเข้ามาเกี่ยวข้องกับพยานหลักฐาน.. จะทำให้ข้อมูลที่ได้ ไม่มีความน่าเชื่อถือครับ..

จะเห็นได้ว่า การที่ศาลจะรับฟังและชั่งน้ำหนักความน่าเชื่อถือของพยานดิจิตัล ที่ได้จากการตรวจพิสูจน์ข้อมูลคอมพิวเตอร์หรือโทรศัพท์มือถือ.. จนเชื่อโดยปราศจากสงสัยและสามารถลงโทษจำเลยได้นั้น มีประเด็นที่ต้องพิจารณามากมาย

การชั่งน้ำหนักพยานหลักฐานตามธรรมดา จะพิจารณาจากความสอดคล้องของพยานหลักฐานกับพยานอื่นในสำนวน..และความเป็นธรรมชาติของพยานหลักฐาน..รวมทั้งองค์ความรู้ทางนิติวิทยาศาสตร์อื่นๆ เช่น ลายพิมพ์นิ้วมือ ดีเอ็นเอ เป็นต้น

ที่เล่าให้ฟังนี้.. เป็นเรื่องการชั่งน้ำหนักพยานหลักฐานทางเทคนิควิธีล้วนๆ.. นอกเหนือจากการชั่งน้ำหนักโดยวิธีการทั่วไปแล้ว..

หวังว่าข้อเขียนนี้ จะเป็นประโยชน์ต่อผู้ให้ความสนใจบ้างนะครับ..

นี่ยังไม่รวมถึง.. พยานผู้เชี่ยวชาญที่จะมาเบิกความนะครับว่า .. เราจะมีวิธีการชั่งน้ำหนักพยานผู้เชี่ยวชาญที่มาเบิกความในเรื่องนิติวิทยาศาสตร์ทางคอมพิวเตอร์ ว่ามีความน่าเชื่อถือหรือไม่ อย่างไร

ไม่ใช่ว่า พยานผู้เชี่ยวชาญ.. เป็นแพทย์ เป็นผู้ตรวจอาวุธปืน เป็นผู้ตรวจดีเอ็นเอ เป็นผู้ตรวจคอมพิวเตอร์ .. มาเบิกความแล้ว จะมีความน่าเชื่อถือเสมอไป..

เอาไว้โอกาสหน้านะครับ..จะเล่าให้ฟัง..

ข้อเขียนนี้ ผมพยายามไม่ลงลึก และใช้ถ้อยคำที่เข้าใจง่ายแล้ว..แต่ก็เข้าใจนะครับว่า หลายท่านคงยัง งงๆ..

แต่ถ้าท่านอ่านมาถึงตอนนี้ได้.. ก็ต้องขอชื่นชม ในความพยายาม ในขันติบารมี..

และขอขอบคุณครับ ที่ท่านยังไม่หลับ..555
สุดยอดครับ

ปล. ต้องขอโทษผู้บังคับใช้กฎหมายด้วยนะครับ ที่เอาเรื่องนี้มาเปิดเผย.. ทำให้ทำงานยากขึ้น
แต่เชื่อผมเถอะ ความรู้เหมาะกับคนดี ผู้บริสุทธิ์.. ส่วนคนร้ายจริงๆนั้น.. ไม่มีวันตามเทคโนโลยีที่เราพัฒนาขึ้นไปเรื่อยๆ ได้ทันอย่างแน่นอน.. เป็นกำลังใจให้ครับ..

Digital Forensics: Case Study

ที่มา:facebook ท่านอาจารย์. ดร.ธีร์รัฐ ไชยอัคราวัชร์ 7 มิ.ย 2562

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป

ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud #โปรแกรม Encase คือ

DIGITAL FORENSICS:คดีกระทำความผิดโดยใช้คอมพิวเตอร์และโทรศัพท์มือถือ

 

#คดีกระทำความผิดโดยใช้คอมพิวเตอร์และโทรศัพท์มือถือ

การใช้คอมพิวเตอร์ หรือโทรศัพท์มือถือในการทำผิด จะมีมากขึ้นเรื่อยๆในอนาคต.. การสืบสวนหาตัวผู้กระทำความผิด..และการรวบรวมพยานหลักฐาน จำเป็นต้องใช้ความรู้ใหม่ๆ..เพื่อทราบว่าหลักฐานอยู่ที่ไหน..

โดยทั่วไปหลักฐานดิจิตัลจะหาได้ใน 3 แหล่งที่ตำรวจหรือพนักงานเจ้าหน้าที่ผู้มีหน้าที่รวบรวมพยานหลักฐานจะต้องทราบและเก็บมาเสนอต่อศาล..นั่นคือ...

1) แหล่งที่ตั้งของเครื่องคอมพิวเตอร์หรือโทรศัพท์มือถือที่ใช้ในการกระทำผิด..

เช่น ข้อมูลที่ค้างอยู่บนจอภาพและในความจำชั่วคราวขณะเข้าจับกุม.. cookies.. ประวัติการเข้าเวปไซต์.. thumb drive ที่เสียบอยู่.. แผ่นดิสก์ที่อยู่ใกล้เคียง..

2) แหล่งที่ตั้งของ Server, Gateway, Cellsite, ISP หรือผู้ให้บริการเชื่อมต่ออินเตอร์เนต หรือค่ายมือถือ..

เช่น ข้อมูลการติดต่อสื่อสารที่บ่งบอกเวลา.. IP Address.. เบอร์โทร.. หมายเลขอีมี่ของเครื่อง ระหว่างมือถือกับ ISP ที่เก็บไว้ (log files)..

3) แหล่งที่ตั้งของเครื่องคอมพิวเตอร์หรือโทรศัพท์มือถือที่ความผิดปรากฎ..

เช่น ภาพหน้าจอที่ปรากฎการกระทำผิด เช่น ข้อความหมิ่นประมาท..หลอกลวงโดยแสดงภาพ/ข้อความอันเป็นเท็จเพื่อให้ส่งมอบข้อมูลส่วนบุคคล (phishing).. ไวรัส หรือคำสั่งให้โจมตีระบบ (malicious code) ที่ฝังตัวอยู่ในเครื่อง..

พนักงานอัยการมีหน้าที่พิจารณาสั่งฟ้อง และนำพยานมาสืบในศาล .. อัยการจึงต้องรู้ว่า electronic data ชิ้นใดที่ได้มาจาก 3 แหล่งนั้นเป็นหลักฐานสำคัญ และมีเพียงพอให้ศาลรับฟังลงโทษจำเลยได้..

ผู้พิพากษามีหน้าที่พิสูจน์ความจริง ยกฟ้องผู้บริสุทธิ์และลงโทษคนทำผิดอย่างเหมาะสม .. ศาลจึงต้องรู้ว่า อะไรจริง อะไรเท็จ..

digital evidence ชิ้นใดที่ต้องถูกตัดมิให้รับฟัง (exclusionary rule).. หลักฐานปกติและหลักฐาน electronic evidence ชิ้นใดที่จะนำมาชั่งน้ำหนัก..

การให้คุณค่า ความน่าเชื่อถือของพยานที่เป็นข้อมูลอิเล็คทรอนิกส์และที่เป็นผู้เชี่ยวชาญที่จะมาเบิกความประกอบ ..

.. ทั้งหลายทั้งปวงนี้ ท้าทายความรู้ความสามารถ ทั้งตำรวจ อัยการ และศาลเป็นอย่างยิ่ง.. เพราะความรู้ตามตำราที่เคยเรียนมาในชั้น ป. ตรี ป. โท และนบท. รวมทั้ง คำพิพากษาเก่าที่เคยตัดสินแบบนี้มาก่อน (precedent) นั้น... .. ไม่มี!

องค์ความรู้ใหม่ๆเหล่านี้คือความรู้ทางวิชาการที่จำเป็นต้องศึกษาเพิ่มเติม .. ส่วนแนวทางการตัดสินคดี คำพิพากษาฎีกาทั้งหลาย แม้จะมีคุณค่าและเป็นประโยชน์ในการทำงาน แต่ก็มิใช่องค์ความรู้ทางวิชาการในเรื่องนี้..

คดีในปัจจุบัน ถ้าตำรวจ อัยการ ศาล.. เอาความรู้ระดับกฎหมายสี่มุมเมือง (ปพพ. ปอ. ปวิพ. ปวิอ.) มาใช้ ย่อมไม่เพียงพอที่จะ ค้นหาความจริงได้. .. ความเป็นธรรมย่อมไม่เกิด..

... ถึงเวลา (นาน) แล้วครับ.. ที่โรงเรียนสอนกฎหมายทุกแห่งในประเทศไทย ควรสอนวิชาใหม่ๆ เช่น

• Cyber Crime (การโจมตีโดยระบบคอมพิวเตอร์)

• Digital Forensic (การตรวจพิสูจน์พยานหลักฐานทางคอมพิวเตอร์) และ

• Digital Evidence (การรับฟังและชั่งน้ำหนักพยานหลักฐานที่เป็นดิจิตัล)

ขอฝากครูบาอาจารย์ในมหาวิทยาลัยต่างๆไว้ด้วยความเคารพครับ..

 

 

 

ที่มา:facebook ท่านอาจารย์. ดร.ธีร์รัฐ ไชยอัคราวัชร์ 12 ก.ย 2561

 

ขอขอบคุณ ท่านอาจารย์. ดร.ธีร์รัฐ ไชยอัคราวัชร์ ขออนุญาตแชร์เป็นวิทยาทาน 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป

ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud #DigitalEvidence #CyberCrime

 

Digital Forensics: Chain of Custody

Chain of custody คือ

Chain of custody คือขบวนการในการปฏิบัติงานกับพยานหลักฐาน ในกรณีของการพิสูจน์หลักฐานทางดิจิตัล (Digital Forensics) จะเริ่มตั้งแต่ขั้นตอนการเก็บหลักฐาน การควบคุมการเข้าถึง การส่งต่อ-รับมอบ ในกรณีีที่มีการปฏิบัติงานร่วมกับหน่วยงานอื่น ไปจนถึงการทำลายพยานหลักฐาน โดยในทุกขั้นตอนต้องมีการบันทึกการดำเนินงานอย่างละเอียด และมีการลงชื่อผู้รับผิดชอบเพื่อเป็นหลักฐาน ทั้งนี้เพื่อให้แน่ใจได้ว่า พยานหลักฐานทางดิจิตัลนั้น ได้รับการปฏิบัติอย่างถูกต้อง และไม่มีการเปลี่ยนแปลงหรือสูญหาย ซึ่งอาจทำให้เกิดความผิดพลาดของผลการตรวจพิสูจน์ได้ (สานักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน)

การบันทึกแบบฟอร์มที่เรียกว่า “Chain of Custody” หรือ กระบวนการระบุสายความรับผิดชอบการเก็บพยานรักษาพยานหลักฐาน เริ่มตั้งแต่เมื่อพยานหลักฐานชิ้นนั้นถูกเก็บรวบรวม เพื่อสร้างความต่อเนื่องของการครอบครองพยานหลักฐาน โดยข้อมูลที่เจ้าพนักงานผู้ปฏิบัติงานในแต่ละสายงานจำเป็นต้องระบุข้อมูลติดต่อและลายมือชื่อของผู้ส่งมอบพยานหลักฐาน, เหตุผลในการับ ส่งมอบพยานหลักฐาน, วิธีการส่งมอบพยานหลักฐาน เช่น ส่งมอบโดยเจ้าหน้าที่ที่เกี่ยวข้องหรือส่งมอบโดยพนักงานส่งของ และสถานที่จัดเก็บพยานหลักฐาน เป็นต้น (สานักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (องค์การมหาชน), ๒๕๖๐)

Chain of custody

Chain of custody หากแปลตรงตัวก็คือ “ห่วงโซ่การคุ้มครองพยานหลักฐาน” หมายถึงข้อมูลที่ระบุรายละเอียดของพยานหลักฐานและการส่งต่อพยานหลักฐานโดยเจ้าหน้าที่ที่รับผิดชอบ ซึ่งจะต้องมีการบันทึกไว้เริ่มตั้งแต่เมื่อพยานหลักฐานชิ้นนั้นถูกเก็บมาจากที่เกิดเหตุมาอยู่ในความครอบครองของเจ้าหน้าที่ที่เกี่ยวข้อง จนถึงเมื่อสิ้นสุดคดี ไว้ในแบบฟอร์ม Chain of custody ซึ่งจะเป็นประโยชน์หากผู้ที่เกี่ยวข้องต้องไปให้การในศาล โดยจะต้องสามารถยืนยันได้ว่า ในระหว่างการครอบครองพยานหลักฐานชิ้นนั้นได้ถูกจัดเก็บไว้ที่ไหน ได้ถูกนำไปทำอะไรบ้าง มีปัจจัยที่จะทำให้พยานหลักฐานเปลี่ยนแปลงหรือไม่ ได้ส่งต่อให้กับบุคคลอื่นหรือไม่ เมื่อวัน/เวลาใด (เรียกได้ว่า จะต้องสามารถระบุตัวตนของผู้รับผิดชอบได้ตลอดเวลาที่ครอบครองพยานหลักฐานนั่นเอง) ตัวอย่างข้อมูลที่จดบันทึกไว้ในแบบฟอร์ม Chain of custody เช่น หากเจ้าหน้าที่ตำรวจเป็นผู้จัดเก็บพยานหลักฐานจากสถานที่เกิดเหตุเอง ก็ต้องระบุชื่อ ตำแหน่ง หน่วยงาน วัน/เวลา รวมถึงข้อมูลสำหรับติดต่อให้ครบถ้วน เมื่อนำพยานหลักฐานกลับมาเก็บไว้ที่ห้องเก็บพยานหลักฐานที่สถานีตำรวจ ก็ต้องจดบันทึกสถานที่และวันเวลารวมทั้งผู้รับผิดชอบไว้ในแบบฟอร์ม หากในวันถัดไปต้องส่งพยานหลักฐานชิ้นนั้นไปให้เจ้าหน้าตรวจพิสูจน์หลักฐานดำเนินการตรวจพิสูจน์ ก็ต้องบันทึกไว้ในแบบฟอร์มว่า ณ วันเวลาใดที่พยานหลักฐานได้เคลื่อนย้ายออกจากห้องเก็บพยานหลักฐานและปัจจุบันอยู่ในความครอบครองของใคร เป็นต้น (ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์ประเทศไทย thaicert)

(Chain of custody)  คืออะไร

ความต่อเนื่องของการครอบครองรักษาวัตถุพยาน (Chain of custody)  คือลูกโซ่การครอบครองวัตถุพยานคือ การต่อเนื่องของวัตถุพยานที่มีการบันทึกเอกสารและบุคคลที่ได้ครอบครองวัตถุพยาน โดยปกติเป็นลำดับของลายมือชื่อที่แสดงการผ่านจากบุคคลหนึ่งไปยังอีกบุคคลหนึ่ง

ประกอบด้วย

      1. การจัดการ (Taking)  เป็นกระทำโดยผู้เก็บวัตถุพยาน จำแนกวัตถุพยานโดยการทำตำหนิ ระบุวันเดือนปีที่เก็บ และรายละเอียดต่างๆ

      2. การเก็บ (Keeping) เป็นพิสูจน์ให้เห็นว่าการเก็บและครอบครองวัตถุพยานได้กระทำอย่างเหมาะสม ถูกต้องตามหลักวิชาการ

      3. การขนส่ง (Transporting)  ต้องรัดกุม แสดงให้เห็นว่าไม่เกิดการสับสนกับวัตถุพยานอื่น มีการลงทะเบียนถ้าเป็นการส่งทางไปรษณีย์

      4.การส่งมอบ (Delivering)  เป็นการพิสูจน์ว่าของกลางได้ส่งมอบให้กับผู้รับอย่างถูกต้องและเหมาะสม มีหลักฐานแสดงวันเดือนปีที่รับของกลาง และมีรายชื่อผู้รับผิดชอบทุกครั้ง



ที่มา http://www.scdc5.forensic.police.go.th

ในงานนิติวิทยาศาสตร์ขั้นตอนการคุ้มครองหลักฐานเหล่านี้เรียกว่า chain of custody ซึ่งอาจจะแปลได้ว่าห่วงโซ่แห่งการคุ้มครอง  chain of custody นั้นเป็นเอกสารบันทึกกระบวนการเริ่มตั้งแต่ขั้นตอนการเก็บตัวอย่างพยานหลักฐาน การเก็บรักษาคุ้มครองหลักฐานการส่งต่อการรับมอบการนำตัวอย่างหลักฐานไปพิสูจน์ทดสอบการรายงานผลการตรวจสอบไปจนถึงขั้นตอนสุดท้ายในการทิ้งหรือทําลายตัวอย่างพยานหลักฐานเมื่อสิ้นสุดกระบวนการ

เอกสาร   chain   of   custody   นี้ควรมีทั้งเอกสารกลางซึ่งเป็นของแต่ละตัวอย่างพยานหลักฐานและเอกสารซึ่งเป็นบันทึกของแต่ละบุคคลหรือหน่วยงานที่รับผิดชอบดูแลตัวอย่างพยานหลักฐานซึ่งสามารถนํามาใช้สอบทาน (counter check) ซึ่งกันและกันได้   อาจจะเป็นเพียงเอกสารที่บุคคลหรือหน่วยงานนั้นใช้บันทึกในการปฏิบัติงานอยู่เป็นประจำเช่น worksheet, logbook หรือ form ก็ได้

แนวทางการสร้าง  chain of custody 

• ควรสร้างการบันทึกเป็นแบบมาตรฐานในแต่ละหน่วยงานเพื่อให้บุคลากรทุกคนได้นํ าไปใช้โดยที่ก่อนนำไปใช้ควรฝึกอบรมบุคลากรให้เข้าใจและสามารถบันทึกได้อย่างถูกต้องและครบถ้วน
• กําหนดบุคคลที่มีหน้าที่ในการเก็บพยานหลักฐานกําหนดผู้ที่สามารถเข้าถึงพยานหลักฐานกําหนดผู้ที่มีหน้าที่ทดสอบพยานหลักฐานควรกําหนดบุคคลที่มีหน้าที่ให้แน่ชัดและไม่ให้มีคนจํานวนมากเกินจําเป็นควรมีบุคลากรที่เกี่ยวข้องน้อยที่สุดเท่าที่เป็นไปได้-ต้องมีการบันทึกในเอกสารทุกครั้งที่มีการเข้าถึงพยานหลักฐานโดยบันทึกด้วยปากกาไม่ใช่ดินสอเนื่องจากการแก้ไขโดยการลบดินสอนั้นง่ายและตรวจสอบได้ลําบากว่ามีการแก้ไขหรื อไม่-เซ็นชื่อกำกับทุกครั้งเมื่อมีการบันทึก chain of custody 
• รายละเอียดข้อมูลใน chain of custody ต้องประกอบด้วยข้อมูลส่วนหลักฐานเก็บหลักฐานอะไรจากที่ไหนหลักฐานมีลักษณะอย่างไรข้อมูลส่วนบุคลากรใครเป็นคนเก็บเก็บเมื่อใดสถานที่ใดข้อมูลการครอบครอง/การรักษาหลักฐานเมื่อเก็บมาแล้วได้เก็บรักษาอย่างใดเมื่อมีการส่งมอบส่งมอบให้ใคร ที่ใด เมื่อไหร่ หลักฐาน ณ ขณะส่งมอบเป็นอย่างไร  จนถึงขั้นตอนสุดท้ายเมื่อจะทําการทิ้งและทําลายหลักฐานภายหลังนํามาตรวจวิเคราะห์เสร็จสิ้นและภายหลังสิ้นสุดกระบวนการยุติธรรมแล้วต้องระบุว่าหลักฐานก่อนทิ้งทําลายเป็นอย่างไรใครเป็นผู้ทําการทิ้งทําลายทําการทิ้งทําลายเมื่อใดสถานที่ไหน
• หรืออาจจะสรุปเป็น 3 ข้อมูลหลักได้แก่  Identification ,Suitable, Safety

ที่มา: นพ.ณัฐตันศรี  สวัสดิ์  นพ. ธีรโชติ จองสกุล * นพ.กรเกียรติวงศ์ ไพศาลสิน ** 

Chain of custody หรือ “ห่วงโซ่การคุ้มครองพยานหลักฐาน” คือ เอกสารแสดงลำดับการเกิดเหตุการณ์ หรือเอกสารแสดงทุกขั้นตอน ตั้งแต่การยึดเครื่องคอมพิวเตอร์ การดูแลรักษา การควบคุม การวิเคราะห์ และการจัดเก็บหลักฐานทางอิเล็กทรนิกส์ เนื่องจากหลักฐานที่พบสามารถนำไปใช้ในยืนยันได้ในชั้นศาล หลักฐานเหล่านี้จึงจะต้องได้รับการจัดการอย่างระมัดระวัง และรอบคอบเพื่อหลีกเลี่ยงข้อกล่าวหาว่าเป็นหลักฐานที่ปลอมหรือทำขึ้นมาและไม่มีการเปลียนแปลงหรือสูญหาย
ที่มา orionforensics

ห่วงโซ่การคุ้มครองพยานหลักฐาน

ตัวอย่างแบบฟอร์ม  Chain of Custody

ได้แก่ ข้อมูลติดต่อและลายมือชื่อของผู้ส่งมอบพยานหลักฐาน, ข้อมูลติดต่อ และ ลายมือชื่อของผู้รับมอบพยานหลักฐาน, วันที่และเวลาในการรับ-ส่งมอบพยานหลักฐาน, เหตุผลใน การรับ-ส่งมอบพยานหลักฐาน, วิธีการส่งมอบพยานหลักฐาน เช่น ส่งมอบโดยเจ้าหน้าที่ที่เกี่ยวข้อง หรือส่งมอบโดยพนักงานส่งของ และสถานที่จัดเก็บพยานหลักฐาน เป็นต้น

ตัวอย่างแบบฟอร์ม  Chain of Custody

Credit : ภาคผนวก ก. ตัวอย่างแบบฟอร์ม  Chain of Custody ข้อเสนอแนะมาตราฐานการจัดการอุปกรณ์ดิจิทัลในงานตรวจพิสูจน์หลักฐาน Version 1.0

ข้อมูลที่ต้องระบุใน แบบฟอร์ม Chain of Custody ได้แก่

1. ข้อมูลการติดต่อและลายมือชื่อของผู้ส่งมอบหลักฐาน
2. ข้อมูลการติดต่อและลายมือชื่อของผู้รับมอบหลักฐาน
3. วันที่และเวลาในการรับและส่งมอบหลักฐาน
4. เหตุผลในการรับและส่งมอบหลักฐาน
5. วิธีการส่งมอบหล้ักฐาน เช่น ส่งมอบโดยเจ้าหน้าที่ที่เกี่ยวข้อง หรือส่งมอบโดยพนักงานส่งของเป็นต้น
6. สถานที่จัดเก็บหลักฐาน
7. รายละเอียดที่เกี่ยวกับหลักฐาน เช่น ประเภท ยี่ห้อ รุ่น สี Serial number และสภาพ เป็นต้น

ตัวอย่างหนังสือแสดงการยึดหรืออายัดระบบคอมพิวเตอร์  Download

อาศัยอํานาจตามความในมาตรา  ๔  และมาตรา  ๑๙  วรรคหก  แห่งพระราชบัญญัติว่าด้วยการ กระทําความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ.  ๒๕๕๐ 

แบบหนังสือแสดงการยึดหรืออายัดระบบคอมพิวเตอร์

แบบหนังสือแสดงการยึดหรืออายัดระบบคอมพิวเตอร์

แบบหนังสือแสดงการยึดหรืออายัดระบบคอมพิวเตอร์

Single Evidence Form

Multi-Evidence Form

Reference:

https://www.thaicert.or.th/papers/general/2013/pa2013ge012.html

https://www.etda.or.th/terminology-detail/1743.html 

 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics

#digitalforensics #investigation #cybercrime #fraud #ห่วงโซ่การคุ้มครองพยานหลักฐาน