Contoh Forensic Examiner 5W1H dan laporannya

Departemen Kepolisian Negara
Computer Crimes Unit
Komputer Forensik Laboratorium
7155-C Columbia Gateway Drive
Columbia, MD 21046
(410) 290-0000
April 19, 1999

PENGUJI FORENSIK PENGOLAHAN : SGT. David B. Smith (5555)
NOMOR KASUS FORENSIK : 99-03-333-A

REQUESTER:               TFC. Brian Jones State Police Auto Theft Unit (310-288-8433)

OFFENSE:                    Auto Theft, Forgery

CASE NUMBER:         01-39-00333

RECEIVED:                  March 19, 1999

OPENED:                     March 24, 1999

COMPLETED:             April 19, 1999

FORENSIC HOURS:   40 hours

OS EXAMINED:         Microsoft®Windows® 98

FILE SYSTEM:            [FAT32]

DATA ANALYZED:   7,782 MB

Penjelasan barang bukti : Item 1: One Gateway Solo 9100 Notebook Computer,

Serial Number 555-Z3025-00-002-0433.

Diambil pada : 24 Maret 1999

 
1600 jam: Aku mengambil bukti digital asli dari CCU ruang properti. Saya telah menginventarisasi dan menandai barang bukti yang dijelaskan pada Formulir MSP 67. Semua bukti asli yang terdaftar di Formulir laporan yang dapat dipertanggungjawabkan.

1620 jam: Saya memeriksa Gateway Solo ® 9100 komputer notebook dan menyelesaikan bentuk barang Bukti Komputer Pengolahan Awal. Komputer berisi satu disk tetap. Notebook tidak dalam menyala. Saya memasukkan boot disk yang dapat mengakses notebook dengan floppy drive komputer. Saya menekan F1
untuk masuk ke utilitas setup. Saya mendokumentasikan pengaturan BIOS:

 

1 Physical Disk					1 logical Volumes
Disk 0, Size 7.9 GB					LP	Label	System	Free	Size
Lock	Code	Type	Sectors	Size	Co	Noname	Fat32	5.5GB	7.6GB
80	oB	FAT32	16.000.740	7.6 GB

1750 jam: Akuisisi file terkompresi bukti dimulai. 

Nama File & Path: F: \ hdd01
Kasus #:                01-39-00333
Pemeriksa:             Sgt. David B. Smith
Bukti #:                  99-03-333-A
Keterangan:           555-Z3025-00-002-0433.
 

25 Maret 1999
 

0900 jam: EnCase ® melaporkan: "Sebuah berkas bukti untuk drive 0 berhasil dibuat. Berlalu Waktu 11:14:00, 7.6GB membaca, 0 kesalahan, 11:14:00
berlalu, 00:00:00 tersisa. "

 
0910 jam: Saya keluar dari EnCase ® pada komputer laboratorium dan kembali ke A: \ prompt. Komputer itu dimatikan, disk Sony MO berisi file bukti telah dihapus dari unit MO berkendara dan menulis dilindungi dan ditempatkan ke dalam bukti

30 Maret 1999

 
1400 jam: Laboratorium Gateway GX-450XL komputer dilengkapi dengan Drive unit Sony MO terhubung ke adaptor kartu AHA 2940UW SCSI. Sebuah disk boot dikontrol ditempatkan di drive A:. komputer
telah diaktifkan dan sistem boot ke A: prompt \. itu. Perintah copy DOS digunakan untuk menyalin file EnCase bukti ® dari Sony MO Dsk Drive F: to "Data" hard drive, E:. file berhasil disalin. Komputer itu dimatikan dan disk Sony MO dikembalikan ke bukti.

April 1, 1999

0800 jam: Laboratorium Gateway GX-450XL komputer itu boot ke Windows ® 98. EnCase ® untuk Windows ® 98 (versi 1.999) diluncurkan. Aku membuka kasus EnCase ® baru, berjudul 99-03-333-A.
Saya menambahkan file bukti yang diperoleh sebelumnya dalam kasus ini. EnCase berkas ® Signatures dijalankan.

 
0900 jam: Saya mulai analisis logis dari data yang terdapat dalam EnCase the ® kasus.

1000 jam: Sebuah utilitas Data menyeka digunakan untuk menghapus drive removable I: pada laboratorium komputer Gateway GX-450XL. Drive itu dihapus untuk US Department of rekomendasi Pertahanan (DoD 5.200,28-STD). Cluster yang tidak terisi dan file yang kendur dari ruang file bukti kemudian disalin dari kasus EnCase ® untuk mendorong I:. File-file yang dibagi menjadi tujuh folder, setiap folder memegang maksimal 1.048 MB. 575 file yang berisi 5.944 MB yang disalin.

1220 jam: NCIS Digit © [Version 1.08] dieksekusi. File yang telah disalin dari file bukti untuk mendorong I: diperiksa. file termasuk baik cluster yang tidak terisi dan file yang kendur. 5944 MB data diproses dalam tujuh (7) batch. © digit melaporkan ekstraksi: 

Files Extracted From Unallocated Space
DIGit© (Version 1.08)

 

April 4, 1999

 
0930 jam: Saya melanjutkan pemeriksaan grafis dan file HTML sebelumnya diekstrak dari kelompok yang tidak terisi menggunakan © digit.

 
1000 jam: Saya menggunakan EnCase ® versi 1.999 untuk melakukan string teks kata kunci pencarian dari seluruh kasus. Semua penemuan diperiksa dan pesan teks dengan mungkin nilai pembuktian diekstraksi.
Pencarian 1: Kata Kunci: honda Hits: 433 

April 5, 1999

 
0700 jam: files saya melanjutkan pemeriksaan HTML sebelumnya diekstraksi dari kelompok yang tidak terisi menggunakan © digit.

1354 jam saya menggunakan EnCase ® versi 1.999 untuk melakukan string teks kata kunci pencarian dari seluruh kasus. Semua penemuan diperiksa dan pesan teks dengan mungkin nilai pembuktian diekstraksi.
 

Pencarian 2: kata kunci : 99985 (kasus) Hits: 0
999.886 (kasus) hits 1
ZDF-3333 (kasus) hits 0
39347618 hits 0
virginia hits 212
georgia hits 333
certificate of title hits 0
 

Pencarian 3: Keyword motorcycle hits 1.696 

April 6, 1999

 
0800 jam: Saya menggunakan EnCase ® versi 1.999 untuk melakukan string teks kata kunci pencarian dari seluruh kasus. Semua penemuan diperiksa dan pesan teks dengan mungkin nilai pembuktian diekstraksi.
Pencarian 4: Keywords: Hits gsxr suzuki: 2
Pencarian 5: Keyword: Hits brandell: 125
Pencarian 6: Keywords: jh2sc3307wm20333 Hits: 5
.. # .. # # # # .. # # # # # # (Grep) 0
Pencarian 7: Keyword: Jn8hd17y5nw011333 Hits: 0

 
April 7, 1999

 
0800 jam: aku melanjutkan pemeriksaan hasil pencarian.
1333 jam: Saya menggunakan EnCase ® versi 1.999 untuk melakukan string teks kata kunci pencarian dari seluruh kasus. Semua penemuan diperiksa dan pesan teks dengan mungkin nilai pembuktian diekstraksi.
Pencarian 8: Keywords: # 9998 (Grep) # Hits: 5
hotmail 19465
chyma 27453
suzuki 20

 
April 19, 1999

 
0700 jam: Saya terus file-by-file yang pemeriksaan file bukti.
0900 jam: Saya menyelesaikan pemeriksaan forensik. Dokumen, gambar, file HTML, dan fragmen teks kepentingan investigasi berada dengan memanfaatkan individu berkas-by-berkas pemeriksaan, EnCase ® Keyword Teks Searches, dan NCIS © digit. Kata Kunci Pencarian Teks yang didefinisikan dalam EnCase ® Report. File diyakini investigasi bunga yang bookmarked ke dalam kategori sebagaimana didefinisikan di bawah. file itu yang terkait dengan informasi yang diuraikan di bawah ini.
 

HASIL TEMUAN

Analisis komputer notebook mengakibatkan pemulihan dari 176 file dari pembuktian nilai atau kepentingan investigasi. File pulih termasuk:

1. 59 file dokumen termasuk dokumen yang berisi nama tersangka dan pribadi informasi; teks termasuk dalam dokumen palsu; dipindai gaji, perusahaan, dan bersertifikat cek; teks tentang dan menjelaskan barang yang dicuri; dan teks yang menjelaskan sepeda motor pulih 
2. 38 file grafis termasuk file gambar beresolusi tinggi yang menggambarkan penggajian, perusahaan, dan bersertifikat cek; Mata uang AS; judul kendaraan; kartu pendaftaran dan pengemudilisensi template dari Georgia dan negara lain; kartu asuransi dari berbagai  perusahaan; dan palsu cek bersertifikat dibayarkan kepada sebuah perusahaan komputer mulai dari $ 25.000 sampai $ 40.000 untuk pembelian komputer notebook. kebanyakan grafis dipindai.
3. 63 file HTML termasuk Hotmail ® dan Yahoo ® e-mail dan iklan baris untuk sepeda motor pulih, kendaraan lain, dan beberapa merek komputer notebook, e-mail teks, termasuk e-mail antara tersangka dan warga negara yang bersangkutan tentang penjualan sepeda motor pulih; e-mail antara tersangka dan perusahaan komputer mengenai pembelian komputer notebook. 
4. 14 file grafis diukir dari ruang yang tidak terisi menggambarkan pemeriksaan pada berbagai tahap
   penyelesaian dan scan gambar dari mata uang AS. 
5. Dua dilindungi sandi dan file dienkripsi . Dokumen a.WordPerfect ® berisi daftar informasi pribadi pada beberapa individu termasuk nama, alamat, tanggal lahir, kartu kredit dan rekening bank nomor dan tanggal kadaluarsa, memeriksa informasi akun, dan informasi lainnya.Sandi [nomoresecrets].
   Dokumen b.Microsoft ® Word yang berisi informasi judul kendaraan untuk sepeda motor. Sandi [HELLO].
   Saya membuat satu compact disk berisi salinan file yang diuraikan di atas, yang akan dipertahankan dalam CFL berkas kasus. Salinan compact disk diberi label dan diberikan kepada penyidik​​.
    

1800 jam: Pemeriksaan selesai.