Ψηφιακή εγκληµατολογία

Ιστορία

Πριν από τη δεκαετία του 1970, τα εγκλήματα που αφορούσαν υπολογιστές αντιμετωπίστηκαν με βάση τους ισχύοντες νόμους. Τα πρώτα εγκλήματα πληροφορικής αναγνωρίστηκαν στο νόμο του 1978 για τα ποινικά αδικήματα συστημάτων ηλεκτρονικών υπολογιστών, της Φλόριντα ΗΠΑ (Florida Computer Crimes Act), όπου συμπεριελήφθη νομοθεσία κατά της μη εξουσιοδοτημένης τροποποίησης ή διαγραφής δεδομένων σε ένα σύστημα ηλεκτρονικών υπολογιστών.  Κατά τα προσεχή έτη μεγάλωσε το φάσμα εγκλημάτων σχετικών με την Πληροφορική και ψηφίστηκαν νόμοι αντιμετώπισης θεμάτων πνευματικής ιδιοκτησίας, σεβασμού της ιδιωτικής ζωής/παρενόχλησης (π.χ. διαδικτυακός εκφοβισμός, διαδικτυακής παρακολούθησης και παρενόχλησης και ηλεκτρονικών «αρπακτικών») και παιδικής πορνογραφίας. Μόλις στη δεκαετία του 1980 οι ομοσπονδιακοί νόμοι άρχισαν να ενσωματώνουν αδικήματα συστημάτων ηλεκτρονικών υπολογιστών. Ο Καναδάς ήταν η πρώτη χώρα που ψήφισε σχετική νομοθεσία το 1983. Ακολούθησε ο αμερικανικός ομοσπονδιακός νόμος για την απάτη στον τομέα των ηλεκτρονικών υπολογιστών το 1986, οι τροποποιήσεις στους νόμους περί εγκληματικών ενεργειών στην Αυστραλία το 1989 και ο νόμος για την κατάχρηση των υπολογιστών στη Βρετανία το 1990.

1980s - 1990s: Ανάπτυξη του πεδίου

Η αύξηση του Ηλεκτρονικού Εγκλήματος κατά τη διάρκεια της δεκαετίας του 1980 και της δεκαετίας του 1990 ώθησε τις υπηρεσίες επιβολής του νόμου να ιδρύσουν εξειδικευμένες ομάδες, συνήθως σε εθνικό επίπεδο, για να χειριστούν τις τεχνικές πτυχές των ερευνών. Για παράδειγμα, το 1984 το FBI δημιούργησε μια ομάδα Ανάλυσης Υπολογιστών και Ανταπόκρισης σε συμβάντα (Computer Analysis and Response Team) και το επόμενο έτος δημιουργήθηκε στην ομάδα αντιμετώπισης απάτης της Βρετανικής Μητροπολιτικής Αστυνομίας τμήμα Ηλεκτρονικού Εγκλήματος. Εκτός από επαγγελματίες του τομέα της επιβολής του νόμου, πολλά από τα πρώτα μέλη των ομάδων αυτών ήταν χομπίστες των ηλεκτρονικών υπολογιστών και έγιναν υπεύθυνοι της αρχικής έρευνας και της κατεύθυνσης του πεδίου.
Ένα από τα πρώτα πρακτικά (ή τουλάχιστον δημοσιευμένα) παραδείγματα της ψηφιακής εγκληματολογίας ήταν η έρευνα και στην συνέχεια η ταυτοποίηση και ο εντοπισμός του χάκερ Markus Hess από τον Cliff Stoll το 1986. Ο Cliff Stoll, η έρευνα του οποίου χρησιμοποίησε τεχνικές της Εγκληματολογίας Υπολογιστών και της Εγκληματολογίας Δικτύων, δεν ήταν εξειδικευμένος εξεταστής. Πολλές από τις πρώτες εγκληματολογικές έρευνες ακολούθησαν το ίδιο προφίλ.
Καθ 'όλη τη δεκαετία του 1990 υπήρξε μεγάλη ζήτηση για αυτούς τους νέους και βασικούς ερευνητικούς πόρους. Η καταπόνηση των κεντρικών εξειδικευμένων ομάδων οδήγησε στη δημιουργία περιφερειακών ακόμη και τοπικών ομάδων για την αντιμετώπιση του φόρτου εργασίας. Για παράδειγμα, το 2001 δημιουργήθηκε η Βρετανική Εθνική Μονάδα Εγκληματικότητας Υψηλών Τεχνολογιών (British National Hi-Tech Crime Unit) για την παροχή εθνικής υποδομής για το Ηλεκτρονικό Έγκλημα, με προσωπικό που βρισκόταν τόσο κεντρικά στο Λονδίνο όσο και σε διάφορες περιφερειακές αστυνομικές δυνάμεις (η μονάδα αναδιπλώθηκε στην Υπηρεσία Σοβαρών Οργανωμένων Εγκλημάτων (SOCA) το 2006).
Κατά τη διάρκεια αυτής της περιόδου η επιστήμη της Ψηφιακής Εγκληματολογίας προόδευσε βασισμένη στα επί τούτω (ad-hoc) κατασκευασμένα εργαλεία και τεχνικές που αναπτύχθηκαν από αυτούς τους επαγγελματίες χομπίστες. Αυτό έρχεται σε αντίθεση με άλλους κλάδους της εγκληματολογίας που αναπτύχθηκαν από την εργασία της επιστημονικής κοινότητας. Μόλις το 1992 ο όρος "Εγκληματολογία Υπολογιστών" χρησιμοποιήθηκε στην ακαδημαϊκή βιβλιογραφία (αν και πριν από αυτό είχε χρησιμοποιηθεί άτυπα). Μια έκθεση από τους P.A. Collier and B.J.Spa προσπάθησε να δικαιολογήσει αυτό το νέο πεδίο στον κόσμο της Εγκληματολογικής Επιστήμης. Η ταχεία εξέλιξη είχε ως αποτέλεσμα την έλλειψη τυποποίησης και κατάρτισης. Στο βιβλίο του του 1995, " High-Technology Crime: Investigating Cases Involving Computers” («Έγκλημα Υψηλής Τεχνολογίας: Διερεύνηση υποθέσεων που αφορούν τους υπολογιστές"), ο K. Rosenblatt έγραψε:
Η λήψη, η διατήρηση και η ανάλυση πειστηρίων, τα οποία βρίσκονται αποθηκευμένα σε ένα σύστημα ηλεκτρονικού υπολογιστή είναι η μεγαλύτερη εγκληματολογική πρόκληση που αντιμετωπίζει η επιβολή του νόμου κατά τη δεκαετία του 1990. Αν και οι περισσότερες εγκληματολογικές εξετάσεις, όπως η αποτύπωση δακτυλικών αποτυπωμάτων και το τεστ DNA, εκτελούνται από ειδικευμένους ειδικούς, το καθήκον της συλλογής και ανάλυσης στοιχείων από συστήματα ηλεκτρονικών υπολογιστών ανατίθεται συχνά σε αξιωματικούς περιπολιών και ερευνητές της αστυνομίας.

2000: Ανάπτυξη προτύπων

Από το 2000, ανταποκρινόμενοι στην ανάγκη τυποποίησης, διάφοροι φορείς και οργανισμοί δημοσίευσαν κατευθυντήριες γραμμές για την Ψηφιακή Εγκληματολογία. Η Επιστημονική Ομάδα Εργασίας για τα Ψηφιακά Πειστήρια (Scientific Working Group of Digital Evidence - SWGDE) δημοσίευσε το 2002 ένα έγγραφο με τίτλο "Βέλτιστες πρακτικές για την Εγκληματολογία Υπολογιστών" (“Best practices for Computer Forensics”), του οποίου ακολούθησε το 2005 η δημοσίευση ενός προτύπου ISO (ISO 17025, Γενικές απαιτήσεις για την ικανότητα δοκιμών και βαθμονόμησης εργαστηρίων (General requirements for the competence of testing and calibration laboratories)). Το 2004 τέθηκε σε ισχύ από την Ευρώπη μια διεθνής συνθήκη, η Σύμβαση για την εγκληματικότητα στον κυβερνοχώρο (Convention on Cybercrime), με σκοπό την εναρμόνιση των εθνικών νόμων για την εγκληματικότητα στον τομέα των συστημάτων ηλεκτρονικών υπολογιστών, των τεχνικών έρευνας και της διεθνούς συνεργασίας. Η συνθήκη υπογράφηκε από 43 κράτη (συμπεριλαμβανομένων των ΗΠΑ, του Καναδά, της Ιαπωνίας, της Νότιας Αφρικής, του Ηνωμένου Βασιλείου και άλλων ευρωπαϊκών χωρών) και επικυρώθηκε από άλλα 16.
Ιδιαίτερη προσοχή έλαβε και το θέμα της κατάρτισης. Εμπορικές εταιρείες (συχνά εταιρείες παραγωγής εγκληματολογικού λογισμικού) άρχισαν να προσφέρουν σειρές μαθημάτων και πιστοποιήσεις και η ανάλυση Ψηφιακής Εγκληματολογίας συμπεριλήφθηκε ως μάθημα στην Κεντρική Αρχή Εκπαίδευσης και Ανάπτυξης της Αστυνομίας (Central Police Training and Development Authority (CPTDA) ή Centrex) του Ηνωμένου Βασιλείου.
Από τα τέλη της δεκαετίας του 1990, οι κινητές συσκευές έχουν γίνει ευρύτερα διαθέσιμες και πέρα από απλές συσκευές επικοινωνίας εξελίσσονται σε πλούσιες μορφές πληροφόρησης, ακόμη και για εγκλήματα που δεν συνδέονται παραδοσιακά με την Ψηφιακή Εγκληματολογία. Παρά ταύτα, η ψηφιακή ανάλυση των τηλεφώνων έχει υστερήσει σε σχέση με αυτή των παραδοσιακών συστημάτων ηλεκτρονικών υπολογιστών, σε μεγάλο βαθμό λόγω προβλημάτων σχετικά με την ιδιοκτησιακή (από τις κατασκευάστριες εταιρείες) φύση των συσκευών.
Επίσης, το επίκεντρο του ενδιαφέροντος του Ηλεκτρονικού Εγκλήματος έχει μετατοπιστεί, ιδίως σε ό,τι αφορά στον κίνδυνο του κυβερνοπολέμου και στην κυβερνοτρομοκρατία. Μια έκθεση του Φεβρουαρίου 2010 από τη Διοίκηση Κοινών Δυνάμεων του στρατού των Ηνωμένων Πολιτειών (United States Joint Forces Command) κατέληξε:
Μέσω του κυβερνοχώρου, οι εχθροί θα στοχεύσουν τη βιομηχανία, τον ακαδημαϊκό κόσμο, την κυβέρνηση, καθώς και τον στρατό στον αέρα, τη γη, τη ναυτιλία και το διάστημα. Με τον ίδιο τρόπο που η δύναμη της αεροπορίας μετασχημάτισε το πεδίο της μάχης του Β 'Παγκοσμίου Πολέμου, ο κυβερνοχώρος έχει σπάσει τα φυσικά εμπόδια, τα οποία προστατεύουν ένα έθνος από τις επιθέσεις στο εμπόριο και την επικοινωνία του.
Το πεδίο της Ψηφιακής Εγκληματολογίας εξακολουθεί να αντιμετωπίζει ανεπίλυτα ζητήματα. Μία έκθεση του 2009, "Ψηφιακή Εγκληματολογική Έρευνα: το Καλό, το Κακό και το Ανεπίλυτο" (“Digital Forensic Research: The Good, the Bad and the Unaddressed"), από τους Gilbert Peterson και Sujeet Shenoi αναγνώρισε μια προκατάληψη για τα λειτουργικά συστήματα των Windows στην Ψηφιακή Εγκληματολογική έρευνα. Το 2010, ο Simson Garfinkel εντόπισε τα ζητήματα που θα αντιμετωπίζουν οι ψηφιακές έρευνες στο μέλλον, συμπεριλαμβανομένου του αυξανόμενου μεγέθους χωρητικότητας των ψηφιακών μέσων, της ευρείας διαθεσιμότητας τρόπων κρυπτογράφησης για τους καταναλωτές, της αυξανόμενης ποικιλίας λειτουργικών συστημάτων και μορφών αρχείων, του αυξανόμενου αριθμού ατόμων που διαθέτουν πολλαπλές συσκευές και των νομικών περιορισμών των ερευνητών. Η έκθεση εντόπισε επίσης ζητήματα υποχρεωτικής συνεχούς κατάρτισης, καθώς και το απαγορευτικά υψηλό κόστος εισόδου στο πεδίο.

Ανάπτυξη εγκληματολογικών εργαλείων

Κατά τη διάρκεια της δεκαετίας του '80 υπήρχαν πολύ λίγα εξειδικευμένα εργαλεία Ψηφιακής Εγκληματολογίας και συνεπώς οι ερευνητές πραγματοποιούσαν συχνά ζωντανή ανάλυση στα συστήματα ηλεκτρονικών υπολογιστών, εξετάζοντας τους υπολογιστές μέσα από το ενεργό λειτουργικό σύστημα χρησιμοποιώντας τα υπάρχοντα εργαλεία διαχείρισης συστημάτων (sysadmin) για την εξαγωγή πειστηρίων. Αυτή η πρακτική ενείχε τον κίνδυνο μεταβολής των ψηφιακών δεδομένων του σκληρού δίσκου, είτε από απροσεξία ή με άλλο τρόπο, γεγονός που οδήγησε σε ισχυρισμούς παραβίασης ακεραιότητας των πειστηρίων. Στην αρχή της δεκαετίας του 1990 δημιουργήθηκαν διάφορα εργαλεία (λογισμικό) για την αντιμετώπιση αυτού του προβλήματος.
Η ανάγκη τέτοιων λογισμικών αναγνωρίστηκε για πρώτη φορά το 1989 στο «Ομοσπονδιακό Κέντρο Εκπαίδευσης για την Επιβολή του Νόμου» των ΗΠA (Federal Law Enforcement Training Center), με αποτέλεσμα τη δημιουργία του IMDUMP (από τον Michael White) και του SafeBack (που αναπτύχθηκε από την Sydex) το 1990. Παρόμοιο λογισμικό αναπτύχθηκε σε άλλες χώρες. Το DIBS (μια λύση υλικού και λογισμικού) κυκλοφόρησε στο εμπόριο στο Ηνωμένο Βασίλειο το 1991 και ο Rob McKemmish κυκλοφόρησε το Fixed Disk Image δωρεάν για τις μονάδες επιβολής του νόμου στην Αυστραλία. Αυτά τα εργαλεία επέτρεψαν στους ερευνητές να δημιουργήσουν ακριβές αντίγραφο ενός ψηφιακού μέσου ώστε να εργαστούν με αυτό, αφήνοντας τον αρχικό σκληρό δίσκο άθικτο για λόγους επαλήθευσης. Στα τέλη της δεκαετίας του 1990, καθώς αυξήθηκε η ζήτηση για ψηφιακά εγκληματολογικά πειστήρια, αναπτύχθηκαν πιο προηγμένα εμπορικά εργαλεία όπως το EnCase και το FTK, επιτρέποντας στους αναλυτές να εξετάζουν αντίγραφα των ψηφιακών μέσων χωρίς να χρησιμοποιούν οποιαδήποτε ζωντανή πρόσβαση στα μέσα. Πιο πρόσφατα, έχει αυξηθεί η τάση για «ψηφιακή ανάλυση ζωντανής μνήμης» με αποτέλεσμα τη διαθεσιμότητα εργαλείων όπως το WindowsSCOPE.
Πιο πρόσφατα, η ίδια εξέλιξη της ανάπτυξης εργαλείων έχει συμβεί και για τις κινητές συσκευές. Αρχικά οι ερευνητές είχαν πρόσβαση στα δεδομένα απευθείας πάνω στη συσκευή, αλλά σύντομα εμφανίστηκαν ειδικά εργαλεία όπως XRY ή Radio Tactics Aceso.

Περιορισμοί

Ένας σημαντικός περιορισμός σε μια ψηφιακή εγκληματολογική έρευνα είναι η χρήση κρυπτογράφησης. Αυτό διαταράσσει την αρχική εξέταση όπου θα μπορούσαν να εντοπιστούν σχετικά αποδεικτικά στοιχεία χρησιμοποιώντας λέξεις-κλειδιά. Οι νόμοι που υποχρεώνουν τα άτομα να αποκαλύψουν τα κλειδιά κρυπτογράφησης των αρχείων τους εξακολουθούν να είναι σχετικά νέοι και αμφιλεγόμενοι.

Νομικές Εκτιμήσεις, Νομικά Ζητήματα

Η έρευνα επί των ψηφιακών μέσων καλύπτεται από εθνική και διεθνή νομοθεσία. Ειδικότερα για έρευνες υποθέσεων των πολιτικών δικαστηρίων, οι νόμοι ενδέχεται να περιορίζουν τη δυνατότητα των ερευνητών και των αναλυτών να πραγματοποιούν εξετάσεις. Υπάρχουν συχνά περιορισμοί, οι οποίοι αφορούν στην παρακολούθηση ενός δικτύου ή στην ανάγνωση προσωπικών επικοινωνιών. Κατά τη διάρκεια της ποινικής έρευνας, οι εθνικοί νόμοι περιορίζουν την ποσότητα των πληροφοριών που μπορούν να συλλεχθούν. Για παράδειγμα, στο Ηνωμένο Βασίλειο, η λήψη πειστηρίων από τις αρχές επιβολής του νόμου διέπεται από την νομοθεσία περί αποδεικτικών στοιχείων  PACE act. Από νωρίς κατά τη διάρκεια της ύπαρξής του στον τομέα, ο «Διεθνής Οργανισμός για τα Υποδείγματα Υπολογιστών» (International Organization on Computer Evidence - IOCE) ήταν ένας οργανισμός που εργάστηκε για τη θέσπιση συμβατών διεθνών προτύπων για την λήψη πειστηρίων.
Στο Ηνωμένο Βασίλειο, οι ίδιοι νόμοι που αφορούν στα εγκλήματα πληροφορικής μπορούν επίσης να επηρεάσουν τους ερευνητές της ψηφιακής εγκληματολογίας. Το 1990 ο Νόμος περί Καταχρηστικής Χρήσης Υπολογιστών (Computer Misuse Act 1990) νομοθετεί κατά της μη εξουσιοδοτημένης πρόσβασης σε ψηφιακό υλικό αποθηκευμένο σε συστήματα ηλεκτρονικών υπολογιστών. Αυτό δημιουργεί ιδιαίτερη ιδιαίτερη ανησυχία στους ιδιώτες ερευνητές, οι οποίοι έχουν περισσότερους περιορισμούς από τους ερευνητές των μονάδων επιβολής του νόμου.
Το δικαίωμα του ατόμου στην ιδιωτική ζωή είναι ένας τομέας της ψηφιακής εγκληματολογίας, ο οποίος εξακολουθεί σε μεγάλο βαθμό να μην έχει αποφασιστεί σαφώς από τα δικαστήρια. Ο Νόμος των ΗΠΑ περί προστασίας της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (Electronic Communications Privacy Act - ECPA) επιβάλλει περιορισμούς στην ικανότητα των αρχών επιβολής του νόμου ή των αστικών ερευνητών να παρακολουθούν και να έχουν πρόσβαση σε πειστήρια. Ο Νόμος κάνει διάκριση μεταξύ αποθηκευμένης επικοινωνίας (π.χ. αρχείων ηλεκτρονικού ταχυδρομείου) και μεταδιδόμενης επικοινωνίας (όπως VOIP). Για το τελευταίο, καθώς θεωρείται περισσότερο ως εισβολή στην ιδιωτική ζωή, είναι πιο δύσκολο να αποκτήσει κάποιος ένταλμα. Η ECPA επιδρά επίσης στην ικανότητα των επιχειρήσεων να διερευνούν τους υπολογιστές και τις επικοινωνίες των εργαζομένων τους, μια πτυχή που εξακολουθεί να συζητείται ως προς το βαθμό στον οποίο μια εταιρεία μπορεί να πραγματοποιήσει μια τέτοια παρακολούθηση.
Το άρθρο 5 της Ευρωπαϊκής Σύμβασης για την Προάσπιση των Δικαιωμάτων του Ανθρώπου (Article 5 of the European Convention on Human Rights) προβλέπει παρόμοιους με τον ECPA περιορισμούς που αφορούν στην ιδιωτική ζωή και περιορίζει την επεξεργασία και την ανταλλαγή δεδομένων προσωπικού χαρακτήρα τόσο εντός της ΕΕ όσο και με εξωτερικές της ΕΕ χώρες. Η ικανότητα των αρχών επιβολής του νόμου του Ηνωμένου Βασιλείου να διεξάγουν έρευνες ψηφιακής εγκληματολογίας έχει νομοθετηθεί με τον κανονισμό περί διερευνητικών εξουσιών (Regulation of Investigatory Powers Act).

Ψηφιακά Πειστήρια

Όταν τα ψηφιακά πειστήρια χρησιμοποιούνται σε δικαστήρια, τότε εμπίπτουν στις ίδιες νομικές κατευθυντήριες γραμμές όπως και άλλες μορφές αποδεικτικών στοιχείων. Τα δικαστήρια συνήθως δεν απαιτούν αυστηρότερες κατευθυντήριες γραμμές. Στις ΗΠΑ χρησιμοποιούνται οι Ομοσπονδιακοί Κανόνες Έρευνας Πειστηρίων (Federal Rules of Evidence) για την αξιολόγηση του αποδεκτού των ψηφιακών πειστηρίων, στο Ηνωμένο Βασίλειο η νομοθεσία περί αποδεικτικών στοιχείων (PACE 1984) και ο Κανονισμός για της Αποδείξεις σε Αστικές Υποθέσεις (Civil Evidence Acts) έχουν παρόμοιες κατευθυντήριες γραμμές και πολλές άλλες χώρες έχουν τους δικούς τους σχετικούς νόμους. Οι ομοσπονδιακοί νόμοι των ΗΠΑ περιορίζουν τις λήψεις σε μόνο αντικείμενα με προφανή αποδεικτική αξία. Αναγνωρίζεται πως αυτό δεν είναι πάντοτε δυνατό να συμβεί με τα ψηφιακά μέσα πριν από την εξέταση.
Οι νόμοι που αφορούν στα ψηφιακά πειστήρια αντιμετωπίζουν δύο θέματα: την ακεραιότητα και την αυθεντικότητά τους. Η ακεραιότητα διασφαλίζει ότι η πράξη της λήψης και απόκτησης πειστηρίων από ψηφιακά μέσα δεν τροποποιεί αυτά τα αποδεικτικά στοιχεία (είτε το πρωτότυπο είτε το αντίγραφο). Η αυθεντικότητα αναφέρεται στην ικανότητα επιβεβαίωσης της ακεραιότητας των πληροφοριών. Για παράδειγμα επιβεβαιώνει ότι τα αντίγραφα των μέσων είναι ταυτόσημα με τα αρχικά στοιχεία. Η ευκολία με την οποία μπορούν να μεταβληθούν τα ψηφιακά πειστήρια σημαίνει ότι η τεκμηρίωση της αλυσίδας επιτήρησης (Chain of Custody) από τη σκηνή του εγκλήματος, μέσω ανάλυσης και, τελικά, έως να βρεθούν τα πειστήρια ενώπιον του δικαστηρίου (μια μορφή του ιστορικού ή της διαδρομής ελέγχου) είναι σημαντική για τη διαπίστωση της αυθεντικότητας των πειστηρίων.
Οι δικηγόροι έχουν επιχειρηματολογήσει πως επειδή τα ψηφιακά πειστήρια μπορούν θεωρητικά να τροποποιηθούν υπονομεύεται η αξιοπιστία των πειστηρίων. Οι αμερικανοί δικαστές έχουν αρχίσει να απορρίπτουν αυτή τη θεωρία, όπως στην υπόθεση των ΗΠΑ εναντίον του Bonallo, όπου το δικαστήριο έκρινε ότι «το γεγονός ότι είναι δυνατόν να αλλάξουν τα δεδομένα που περιέχονται σε έναν υπολογιστή είναι σαφώς ανεπαρκές για να αποδειχθεί αναξιοπιστία». Στο Ηνωμένο Βασίλειο κατευθυντήριες γραμμές όπως αυτές που έχουν εκδοθεί από τον Σύνδεσμο Ανωτάτων Αξιωματικών Αστυνομίας (Association of Chief Police Officers – ACPO) ακολουθούνται για να βοηθήσουν στην τεκμηρίωση της αυθεντικότητας και της ακεραιότητας των πειστηρίων.
Οι ερευνητές ψηφιακών πειστηρίων, ιδίως σε ποινικές έρευνες, πρέπει να διασφαλίζουν ότι τα συμπεράσματα βασίζονται σε πραγματικά στοιχεία και στις προσωπικές ειδικές γνώσεις τους. Στις ΗΠΑ, για παράδειγμα, οι Ομοσπονδιακοί Κανόνες Έρευνας Πειστηρίων (Federal Rules of Evidence) δηλώνουν ότι ένας ειδικευμένος εμπειρογνώμονας μπορεί να καταθέσει "με τη μορφή μιας γνώμης ή άλλως" εφόσον:
 (1) η μαρτυρία βασίζεται σε επαρκή γεγονότα ή δεδομένα, (2) η μαρτυρία είναι προϊόν αξιόπιστων αρχών και μεθόδων και (3) ο μάρτυρας εφάρμοσε αξιόπιστα τις αρχές και τις μεθόδους στα πραγματικά στοιχεία της υπόθεσης.
Οι κλάδοι της ψηφιακής εγκληματολογίας μπορούν να έχουν ο καθένας τις δικές του ειδικές οδηγίες για τη διεξαγωγή των ερευνών και τη διαχείριση των πειστηρίων. Για παράδειγμα, τα κινητά τηλέφωνα μπορεί να απαιτείται να τοποθετούνται σε κλωβό Faraday κατά τη διάρκεια της λήψης ή της απόκτησης πειστηρίων, προκειμένου να αποφευχθεί η περαιτέρω ασύρματη επικοινωνία της συσκευής. Στο Ηνωμένο Βασίλειο η εγκληματολογική εξέταση υπολογιστών σε ποινικές υποθέσεις υπόκειται στις κατευθυντήριες γραμμές του Συνδέσμου Ανωτάτων Αξιωματικών Αστυνομίας (Association of Chief Police Officers – ACPO). Υπάρχουν επίσης διεθνείς προσεγγίσεις για την παροχή καθοδήγησης σχετικά με τον τρόπο διαχείρισης των ψηφιακών πειστηρίων. Ο "Οδηγός Ηλεκτρονικών Πειστηρίων" (Electronic Evidence Guide) του Συμβουλίου της Ευρώπης προσφέρει ένα πλαίσιο για τις αρχές επιβολής του νόμου και τις δικαστικές αρχές σε χώρες που επιδιώκουν να δημιουργήσουν ή να ενισχύσουν τις δικές τους κατευθυντήριες γραμμές για τον εντοπισμό και τον χειρισμό ηλεκτρονικών πειστηρίων.

Ερευνητικά Εργαλεία

Το παραδεκτό των ψηφιακών πειστηρίων εξαρτάται από τα εργαλεία που χρησιμοποιούνται για την εξαγωγή τους. Στις ΗΠΑ, τα εγκληματολογικά εργαλεία υπόκεινται στο πρότυπο Daubert, όπου ο δικαστής είναι υπεύθυνος για τη διασφάλιση πως οι διαδικασίες και το λογισμικό που χρησιμοποιούνται είναι αποδεκτά. Σε μια δήλωση του 2003, ο Brian Carrier ισχυρίστηκε ότι οι κατευθυντήριες γραμμές Daubert απαιτούσαν να δημοσιευθεί ο κώδικας των εγκληματολογικών εργαλείων και να αξιολογηθούν από ομότιμους κριτές. Κατέληξε στο συμπέρασμα ότι "τα εργαλεία ανοικτού κώδικα μπορούν να πληρούν με μεγαλύτερη σαφήνεια και πληρότητα τις απαιτήσεις των κατευθυντήριων γραμμών από ό,τι τα ιδιόκτητα εργαλεία". Ο Josh Brunty δήλωσε το 2011 ότι η επιστημονική επικύρωση της τεχνολογίας και του λογισμικού που σχετίζονται με την πραγματοποίηση μιας ψηφιακής εγκληματολογικής εξέτασης είναι κρίσιμη για κάθε εργαστηριακή διαδικασία. Ισχυρίστηκε ότι «η επιστήμη της ψηφιακής εγκληματολογίας βασίζεται στις αρχές των επαναλαμβανόμενων διαδικασιών και των ποιοτικών πειστηρίων, επομένως, το να γνωρίζει κάποιος πώς να σχεδιάσει και να διατηρήσει κατάλληλα μια καλή διαδικασία επικύρωσης είναι βασική απαίτηση για κάθε ερευνητή ψηφιακής εγκληματολογίας ώστε να υπερασπιστεί τις μεθόδους του σε δικαστήριο».

Κλάδοι

Καθώς οι νόμοι παραβιάζονται από τους εγκληματίες και τώρα χρησιμοποιούνται εκτεταμένα μικρές ψηφιακές συσκευές (π.χ. ταμπλέτες, smartphones, flash drives), οι έρευνες της ψηφιακής εγκληματολογίας δεν περιορίζονται απλώς στην ανάκτηση δεδομένων από συστήματα ηλεκτρονικών υπολογιστών, αλλά επεκτείνονται για να καλυφθούν και οι νέες αυτές τεχνολογίες και συσκευές. Ορισμένες από αυτές τις συσκευές έχουν πτητική μνήμη, ενώ μερικές έχουν μη πτητική μνήμη. Υπάρχουν επαρκείς μεθοδολογίες για την ανάκτηση δεδομένων από την πτητική μνήμη, ωστόσο, δεν υπάρχει λεπτομερής μεθοδολογία ή πλαίσιο για την ανάκτηση δεδομένων από μη πτητικές μνήμες. Ανάλογα με τον τύπο των συσκευών, των μέσων ή των αντικειμένων, η έρευνα της ψηφιακής εγκληματολογίας διακλαδίζεται σε διάφορους τύπους.

Εγκληματολογία Υπολογιστών

Ο στόχος της εγκληματολογίας υπολογιστών είναι να εξηγήσει την τρέχουσα κατάσταση ενός ψηφιακού αντικειμένου (artifact), όπως ενός συστήματος ηλεκτρονικού υπολογιστή, ενός αποθηκευτικού μέσου ή ενός ηλεκτρονικού εγγράφου. Ο κλάδος αυτός καλύπτει συνήθως τα συστήματα ηλεκτρονικών υπολογιστών, τα ενσωματωμένα συστήματα (ψηφιακές συσκευές με στοιχειώδη υπολογιστική ισχύ και ενσωματωμένη μνήμη) και τη στατική μνήμη (όπως USB αποθηκευτικές μονάδες).
Η εγκληματολογία υπολογιστών μπορεί να ασχοληθεί με ένα ευρύ φάσμα πληροφοριών: από τα αρχεία καταγραφής (όπως το ιστορικό διαδικτύου) έως τα πραγματικά ψηφιακά αρχεία στη μονάδα δίσκου. Το 2007 οι εισαγγελείς χρησιμοποίησαν ένα υπολογιστικό φύλλο που ανακτήθηκε από τον υπολογιστή του Joseph E. Duncan III για να αποδειχθεί προμελέτη και να εξασφαλισθεί η θανατική ποινή. Ο δολοφόνος της Sharon Lopatka εντοπίστηκε το 2006 μετά από τον εντοπισμό στον υπολογιστή του θύματος μηνυμάτων ηλεκτρονικού ταχυδρομείου από το θύτη, τα οποία περιγράφουν λεπτομερώς βασανιστήρια και φαντασιώσεις θανάτου.

Εγκληματολογία Κινητών Συσκευών

Η εγκληματολογία κινητών συσκευών αποτελεί υπο-κλάδο της ψηφιακής εγκληματολογίας σχετικά με την ανάκτηση ψηφιακών πειστηρίων ή δεδομένων από μια κινητή συσκευή. Διαφέρει από την εγκληματολογία υπολογιστών κατά το ότι μια κινητή συσκευή θα διαθέτει ενσωματωμένο σύστημα επικοινωνίας (π.χ. GSM) και, συνήθως, διαφορετικούς ανά κατασκευάστρια εταιρεία μηχανισμούς αποθήκευσης, οι οποίοι είναι και ιδιόκτητοι από την ίδια την κατασκευάστρια. Οι έρευνες συνήθως επικεντρώνονται σε απλά δεδομένα, όπως δεδομένα κλήσεων και επικοινωνιών (Σύντομα Μηνύματα - SMS/μηνύματα ηλεκτρονικού ταχυδρομείου - Email), και όχι η σε βάθος ανάκτηση των διαγραμμένων δεδομένων. Τα δεδομένα SMS από μια έρευνα κινητής συσκευής βοήθησαν να απαλλαχθεί ο Patrick Lumumba από τη δολοφονία της Meredith Kercher.
Οι κινητές συσκευές είναι επίσης χρήσιμες για την παροχή πληροφοριών θέσης. είτε από ενσωματωμένες δυνατότητας GPS/εντοπισμού τοποθεσίας ή μέσω αρχείων καταγραφής κυψελών της κινητής τηλεφωνίας, τα οποία παρακολουθούν τις συσκευές εντός της εμβέλειας τους. Τέτοιου τύπου πληροφορίες χρησιμοποιήθηκαν για τον εντοπισμό των απαγωγέων του Thomas Onofri το 2006.

Εγκληματολογία Δικτύων

Η εγκληματολογία δικτύων ασχολείται με την παρακολούθηση και ανάλυση της κίνησης του δικτύου υπολογιστών, τόσο σε τοπικό όσο και σε WAN/διαδικτυακό επίπεδο, με σκοπό τη συλλογή πληροφοριών, τη συλλογή πειστηρίων ή την ανίχνευση εισβολών. Η δικτυακή κίνηση συνήθως συλλέγεται σε επίπεδο πακέτων και είτε αποθηκεύεται για μεταγενέστερη ανάλυση ή φιλτράρεται σε πραγματικό χρόνο. Σε αντίθεση με άλλους τομείς της ψηφιακής εγκληματολογίας, τα δεδομένα της εγκληματολογίας δικτύου είναι συχνά προσωρινά και σπάνια καταγράφονται, καθιστώντας τον συγκεκριμένο κλάδο συχνά χρήσιμο μόνο ως εκ των υστέρων αντίδραση.
Το 2000, το FBI παρέσυρε τους χάκερς Aleksey Ivanov και Gorshkov στις Ηνωμένες Πολιτείες για μια ψεύτικη συνέντευξη εργασίας. Παρακολουθώντας την δικτυακή κίνηση μεταξύ των υπολογιστών τους στην Αμερική και εκείνων που είχαν στην Ρωσία, το FBI εντόπισε κωδικούς πρόσβασης που τους επέτρεψαν να συλλέξουν στοιχεία απευθείας από υπολογιστές με έδρα τη Ρωσία.

Εγκληματολογία Ανάλυσης Δεδομένων

Η Εγκληματολογία Ανάλυσης Δεδομένων είναι ένας κλάδος της ψηφιακής εγκληματολογίας. Εξετάζει τα δομημένα δεδομένα με στόχο να αποκαλυφθούν και να αναλυθούν μοτίβα δόλιων δραστηριοτήτων που προκύπτουν από οικονομικά εγκλήματα.

Εγκληματολογία Βάσεων Δεδομένων

Η εγκληματολογία των βάσεων δεδομένων είναι ένας κλάδος της ψηφιακής εγκληματολογίας που σχετίζεται με την εγκληματολογική μελέτη των βάσεων δεδομένων και των μεταδεδομένων τους. Οι έρευνες χρησιμοποιούν περιεχόμενο των βάσεων δεδομένων, αρχεία καταγραφής και δεδομένα εντός της RAM για να δημιουργήσουν ένα χρονοδιάγραμμα ή να ανακτήσουν σχετικές πληροφορίες.