chain of custody

Chain of custody to udokumentowana, nieprzerwana historia tego, kto, kiedy i w jakim celu miał dostęp do zabezpieczonego materiału dowodowego. Glosariusz NIST opisuje ją jako proces śledzący drogę dowodu przez zbieranie, zabezpieczanie i analizę, w którym zapisuje się każdą osobę mającą styczność z dowodem, datę i godzinę zebrania lub przekazania oraz cel przekazania ^[1]. Po polsku mówi się o ciągłości nadzoru nad materiałem dowodowym. Sekurak używa angielskiego terminu wprost i wylicza, co trzeba zapisać: skrót, czas, osobę analizującą, narzędzia i przekształcenia ^[4].

Jak działa

RFC 3227 z lutego 2002 roku, dokument typu Best Current Practice o zbieraniu i archiwizacji dowodów, wymaga, by dowody były ściśle zabezpieczone, a chain of custody jasno udokumentowana ^[2]. Według RFC trzeba umieć opisać, jak dowód znaleziono, jak się z nim obchodzono i co się z nim działo ^[2]. Dokument wymienia cztery grupy informacji do zapisania.

Drugim filarem jest dowód, że materiał się nie zmienił. NIST SP 800-86 zaleca obliczenie skrótu wiadomości (message digest) oryginału i kopii, a następnie porównanie obu wartości ^[3]. Służy do tego funkcja skrótu (hashing). Wytyczne pochodzą z 2006 roku i jako przykłady podają algorytmy MD5 i SHA-1 ^[3]; wybór algorytmu warto odczytywać w kontekście daty publikacji.

Kolejność kroków pokazuje schemat poniżej.

RYS. 1Droga dowodu z przejętej strony

Zasady zbierania

NIST SP 800-86 opisuje chain of custody jako prowadzenie rejestru każdej osoby, która fizycznie miała dowód, zapis wykonanych czynności z czasem, przechowywanie dowodu w bezpiecznym miejscu, analizę wyłącznie na kopii oraz weryfikację integralności oryginału i kopii ^[3]. Jeśli nie wiadomo, czy dowód trzeba zachować, domyślnie należy go zachować ^[3]. Gdy dowód może być potrzebny w postępowaniu, analityk powinien wykonać obraz nośnika bit po bicie, oznaczyć oryginał i przechowywać go jako dowód ^[3].

Przy wykonywaniu obrazu NIST SP 800-86 opisuje trzy pomiary skrótu: oryginału przed kopiowaniem, kopii po kopiowaniu i ponownie oryginału, aby wykazać, że samo kopiowanie go nie zmieniło; wszystkie wyniki należy udokumentować ^[3]. Zapis zmian na oryginalnym nośniku blokuje się urządzeniem albo programem typu write-blocker ^[3]. Dokumentacja obejmuje również model i numer seryjny dysku, jego pojemność oraz nazwę i wersję oprogramowania użytego do wykonania obrazu ^[3]. Według NIST wszystkie te czynności podtrzymują chain of custody ^[3].

RFC 3227 dodaje zasady, które chronią materiał przed zniszczeniem:

• zbieraj od danych najbardziej ulotnych do najmniej ulotnych: od pamięci i tablic procesów, przez dysk, po nośniki archiwalne ^[2];
• nie wyłączaj systemu przed zakończeniem zbierania, bo część dowodów przepadnie ^[2];
• nie ufaj programom na badanym systemie i uruchamiaj narzędzia z chronionych nośników ^[2];
• nie uruchamiaj programów, które zmieniają czas dostępu do wszystkich plików, na przykład tar albo xcopy ^[2];
• zapisz różnicę między zegarem systemu a czasem UTC ^[2].

Według RFC dowód cyfrowy powinien być dopuszczalny, autentyczny, kompletny, wiarygodny i zrozumiały dla sądu ^[2]. Luka w chain of custody podważa właśnie wiarygodność: nie da się wykazać, że nikt nie zmienił materiału po drodze.

W WordPressie

Po włamaniu na stronę WordPress naturalnym odruchem jest szybkie czyszczenie przejętej strony. Z punktu widzenia dowodów to moment krytyczny, bo usunięcie webshella albo podmienionego pliku niszczy ślad. Kolejność powinna być odwrotna: najpierw obraz albo kopia plików, bazy i logów wraz ze skrótami, dopiero potem naprawa. Na współdzielonym hostingu, bez dostępu do dysku, zwykle zostaje kopia logiczna; tym ważniejszy jest dokładny zapis, kto i jak ją wykonał.

Dokumentacja WordPressa nazywa logi najlepszym przyjacielem przy analizie śledczej: pozwalają ustalić adres IP, czas i działania atakującego ^[5]. Ta sama dokumentacja zwraca uwagę na wartość kopii zapasowych: jeśli stronę przejęto 1 maja, a wykryto to 12 maja, kopie sprzed włamania pomagają odbudować serwis, a kopie z okresu po nim pomagają ustalić, jak doszło do włamania ^[5]. Dlatego kopia zapasowa (backup) i retencja logów są warunkiem późniejszego dochodzenia.

Porównanie plików rdzenia z sumami kontrolnymi z WordPress.org umożliwia polecenie wp core verify-checksums ^[6]. Uruchamia się je jednak na zabezpieczonej kopii, a nie na jedynym egzemplarzu dowodu. Zapis w rejestrze może wyglądać tak:

sha256sum example.com-dysk-2026-09-27.img >> rejestr-dowodow.txt
echo "2026-09-27T10:42Z | zebrał: analityk-1 | obraz dysku VPS, sha256sum" >> rejestr-dowodow.txt

Znaczenie

Chain of custody jest częścią informatyki śledczej i procesu reagowania na incydenty. NIST SP 800-86 zaznacza, że decyzję o zbieraniu dowodów w sposób nadający się do postępowania prawnego lub dyscyplinarnego podejmuje się przed rozpoczęciem zbierania, zgodnie z polityką organizacji i z udziałem doradców prawnych ^[3]. Dokumentacja pozwala też innym analitykom powtórzyć proces ^[3], co RFC 3227 określa jako przejrzystość i odtwarzalność metod ^[2].

Dobrze prowadzony rejestr przydaje się również bez sądu. Zabezpieczone wskaźniki kompromitacji (IoC) zasilają post-incident review, a pewność co do integralności kopii pozwala oprzeć na niej opanowanie incydentu i dalsze decyzje.

Dobre praktyki

• Wyznacz jedną osobę odpowiedzialną za rejestr dowodów w każdym incydencie ^[3].
• Licz skrót przy zebraniu i przy każdym przekazaniu, a wynik zapisuj w rejestrze ^[3].
• Analizuj kopie, oryginał przechowuj osobno ^[3]; dobrze sprawdza się kopia niezmienna (immutable backup).
• Zapisuj narzędzia i przekształcenia, którym poddano materiał ^[4].
• Notuj czas w UTC i różnicę zegara badanego systemu ^[2].