Post-incident forenzná analýza: Metodika zberu telemetrie a letových záznamov

Prečo forenzná akvizícia logov a telemetrie po incidente

Bezpilotné systémy (UAS/UAV) generujú bohatú stopu dát od úrovne autopilota až po pozemné riadiace stanice (GCS) a senzory proti-dronových systémov. Po kybernetickom alebo prevádzkovom incidente sú tieto logy a telemetria kľúčom k rekonštrukcii udalostí, atribúcii, stanovení rozsahu škôd a nápravných opatrení. Forenzná akvizícia cieli na presné, reprodukovateľné a právne obhájiteľné získanie a uchovanie dát bez kompromitácie ich integrity a reťazca držby (chain of custody).

Právny a organizačný rámec

• Mandát a oprávnenie: definujte, kto a na základe čoho vykonáva akvizíciu (interná politika, zmluvné podmienky, súdny príkaz, súhlas vlastníka zariadenia).
• Reťazec držby: každá manipulácia s médiom či súborom má mať zaznamenanú osobu, dátum/čas (UTC), účel a kryptografické hash hodnoty.
• Ochrana osobných údajov: minimalizácia zberu, pseudonymizácia, retenčné lehoty a prístupové práva v súlade s legislatívou.
• Bezpečnosť práce: riziká LiPo batérií, rotorov, pyrotechniky, RF emisií; pred akvizíciou zabezpečiť zbraňové/pyro obvody a odpojenie napájania podľa SOP.

Typológia dátových zdrojov po incidente

• Palubné systémy UAV: flight controller (napr. PX4/ArduPilot), companion počítač (Linux/ROS), kamerové systémy (SRT/EXIF), modemy (LTE/5G), RF linky (C2/video), GNSS prijímače.
• Pozemné systémy: GCS aplikácie (Windows/Linux/Android/iOS), rádiové stanice, anténne trackery, sieťové prvky.
• Proti-dronové senzory: RF skenery, pasívne/aktívne radary, EO/IR kamery, akustické polia, ADS-B/Mode S prijímače.
• Siete a cloud: telemetria cez NTRIP, MQTT/REST, poskytovatelia RTK, logy SIEM/SOAR, záznamy operátorov mobilných sietí (ak legálne dostupné).

Volatilita dát: čo zachytiť ako prvé

• Volatilné: RAM dump companion počítača, behové logy (journalctl/dmesg), dočasné súbory, live sieťové toky (PCAP), cache GCS.
• Semi-volatilné: rotačné logy a kruhové buffery autopilota (ULog/BIN), ROS bagy, video ring-buffer.
• Trvalé: SD/SSD/eMMC flash, konfigurácie a kalibrácie, mapové dlaždice, firmware a parametre (param save/export).

Integrita a čas: kľúčové zásady

• Hashovanie: pre obraz médií aj jednotlivé artefakty generujte minimálne SHA-256; pre dlhodobý dôkazný materiál zvážte SHA-512.
• Časové osi: pracujte v UTC; zaznamenávajte aj offsety GNSS času, NTP a lokálnych RTC, vrátane driftu.
• Imutabilita: pracujte na bitových obrazoch, originály zapečatiť. Používajte write-blockery pre fyzické médiá.

Štandardné formáty logov a telemetrie v UAS

Komponent	Formát	Obsah	Poznámky k forenznej hodnote
Autopilot PX4	ULog	IMU, GPS, barometer, stavový stroj, failsafe, výstupy riadenia	Vysoká granularita; korekcia času podľa GPS locku
ArduPilot	.BIN / .LOG	EKF/IMU, RC vstupy, výnimky, parametre	Obsahuje udalosťové značky (EV), užitočné pre incident timeline
MAVLink telemetria	TLOG/PCAP	Heartbeat, GPS_RAW, ATTITUDE, MISSION, PARAM	Možné spätne hrať; kontrola spoofingu/command injection
ROS/ROS2	.bag / .db3	Senzorické topiky, odometria, plánovanie	Záznam latencií a sekvencií; identifikácia frame drops
Video	SRT/MPEG-TS/MP4	Overlay telemetria, časové značky, smer/zoom	Extrahovateľné meta; kľúč pri vizuálnej rekonštrukcii
Siete	PCAP/Netflow	RTSP, RTP, MAVLink-over-UDP/TCP, MQTT	Detekcia MITM, packet loss, jitter, resetov spojenia

Workflow akvizície: end-to-end postup

1. Stabilizácia scény: vypnúť RF emisie, zabezpečiť napájanie, fotograficky zdokumentovať stav zariadení, verzie SW a zapojenia.
2. Rýchla volatilná akvizícia: RAM/systémové logy companion počítača, live sieťové záznamy, export behových metrik (screenshoty GCS).
3. Logické exporty: bezpečný výpis ULog/BIN, parametrov a misií; bez zmeny konfigurácie.
4. Fyzická akvizícia: bitové obrazy SD/eMMC/SSD s write-blockerom; dokumentovať sériové čísla a seal ID.
5. Hash a pečatenie: vytvoriť hash súpis, zapečatiť originály, pracovať s kópiami.
6. Korelačná agregácia: import do forenzného skladu (DFIR platforma), normalizácia časových značiek a jednotiek.
7. Kontrola kvality: validačné skripty (schema/CRC/počty snímok), inventory chýbajúcich intervalov.

Normalizácia a korekcia časov

• GNSS epochy: konverzia GPS času (bez skokov sekundy) na UTC, započítanie leap seconds.
• RTC drift: korekcia podľa anchor bodov (prvý GPS fix, NTP sync v GCS).
• Synchronizácia multi-zdrojov: časové priradenie videa, telemetrie a RF detekcií z proti-dronových senzorov.

Analytická rekonštrukcia incidentu

• Trajektória a profil letu: rekonštrukcia z IMU/GNSS; identifikácia náklonov, rýchlosti zostupu, preťaženia.
• Stavový automat: prechody medzi režimami (MANUAL/ALTCTL/POSCTL/AUTO), aktivácie failsafe (RTL/land/terminate).
• Komunikačné udalosti: strata linky, preladenie, preťaženie kanála, interference score.
• Konfiguračné zmeny: porovnanie parametrov pred/po (diff), neautorizované zásahy, zmeny misií.
• Kybernetické indikátory: nezvyčajné MAVLink príkazy, modifikované firmware identifikátory, neplatné podpisy, anomálie v ROS grafe.

Proti-dronové systémy: korelácia multisenzorovej evidencie

• RF fingerprinting: jedinečné črty modulácie a oscilátorov; korelovať s PCAP a C2 linkou.
• Radar/EO/IR: fúzia trackov s trajektóriou z logov; validácia rýchlostí a výšok.
• ADS-B/Mode S: vylúčenie/zaradenie kooperatívnych cieľov v blízkosti incidentu.

Šifrovanie, kľúče a autentifikácia

• Detekcia šifrovania: identifikácia šifrovaných partícií, protokolov (TLS, SRTP), a zabezpečených parametrov.
• Legálny prístup: získanie kľúčového materiálu zákonnou cestou (správcovské prístupy, zálohy, HSM), audit prístupov.
• Overenie integrity: digitálne podpisy firmware, secure boot logy, merané štarty (TPM/TrustZone, ak existujú).

Kvalita dát a metriky pokrytia

• Pokrytie časovej osi: percento incidentného okna s platnými údajmi na zdroj.
• Granularita: vzorkovacia frekvencia IMU/GNSS, frekvencia MAVLink; detekcia gapov.
• Konzistentnosť: krížové porovnanie výšok (baro vs. GNSS), heading (mag vs. vizuálny odhad), rýchlosť (pitot vs. derivácia polohy).

Nástroje a automatizácia (príklady kategórií)

• Forenzné suity: na tvorbu bitových obrazov, hashovanie, správu chain of custody a reporty.
• UAS log analyzéry: parsovanie ULog/BIN, vizualizácie telemetrie, porovnanie parametrov.
• Sieťová forenzika: PCAP analýza, extrakcia MAVLink/RTSP, štatistiky jitter/packet loss.
• DFIR orchestrácia: ingest pipelines, normalizácia schém, korelačné vyhľadávanie a časové osy.

Bežné nástrahy a ako im predísť

• Prepis kruhových logov: vypnúť napájanie bezpečne a akvizíciu spustiť skôr, než dôjde k rotácii súborov.
• Kontaminácia artefaktov: práca na origináli bez write-blockera; vždy tvoriť bitové kópie.
• Nesúlad časových základní: ignorovanie driftu; vykonať synchronizačnú kalibráciu pred analýzou.
• Chýbajúci kontext: nezdokumentované prostredie a konfigurácie; dôkladne fotografovať a exportovať parametre.

Model incidentnej časovej osi (príklad štruktúry)

 t0 (UTC) - Posledný platný GNSS fix; GPS_HDOP = 0.7 t0+3s - Loss of Link (MAVLink HEARTBEAT timeout), RSSI↓ t0+4s - Autopilot: Failsafe → RTL; EKF variance ↑ t0+7s - RF senzor: anomália modulácie v pásme 2.4 GHz t0+12s - Video stream drop; jitter > 150 ms t0+18s - Autopilot: režim LAND; baro_z drift +0.8 m t0+30s - Dotyk zeme; motor disarm; log closed 

Reportovanie a prezentácia dôkazov

• Reprodukovateľnosť: zahrnúť verzie nástrojov, skriptov a konfiguračné súbory.
• Vizualizácie: mapy trajektórií, heatmapy RSSI/jitter, grafy režimov a výnimiek.
• Dôkazný balík: index artefaktov s hashmi, opis chain of custody, právne obmedzenia publikácie.

Integrácia s post-incidentnou bezpečnosťou

• Back-feed do SOC/blue-team: IOCs (indikátory kompromitácie), signatúry anomálií MAVLink, RF patterny.
• Tvrdnutie konfigurácií: aktualizácia firmware, audit parametrov failsafe, zabezpečenie telemetrie (šifrovanie, autentizácia).
• Lekcie naučené: aktualizácia SOP a tréning posádok; testy tabuľkou (table-top) a cvičenia red/blue tímu.

Kontrolný zoznam (Checklist) pre forenznú akvizíciu

1. Mandát, bezpečnosť scény, dokumentácia stavu zariadení.
2. Zachytiť volatilné dáta (RAM, live PCAP, journal).
3. Logický export ULog/BIN, parametrov, misií a ROS bagov.
4. Bitová kópia SD/eMMC/SSD s write-blockerom + hash.
5. Centralizovaný ingest a normalizácia časov (UTC).
6. Kontrola kvality a inventarizácia medzier v dátach.
7. Rekonštrukcia trajektórie, režimov a komunikačných udalostí.
8. Korelácia s proti-dronovými senzormi (RF/radar/EO-IR).
9. Report, vizualizácie a dôkazný balík s hashmi.
10. Nápravné opatrenia a aktualizácia bezpečnostných politík.

Forenzná akvizícia logov a telemetrie po incidente s UAV vyžaduje presný postup, disciplinované zachovanie integrity a hlboké znalosti formátov i systémov. Kombinácia správneho právneho rámca, technicky korektnej akvizície, časovej normalizácie a multisenzorovej korelácie umožňuje spoľahlivo rekonštruovať udalosti a odvodiť účinné nápravné opatrenia. Systematický prístup znižuje riziko sporov o dôkaznú hodnotu a zrýchľuje prechod od incidentu k zlepšenej kybernetickej odolnosti celého UAS ekosystému.