חשד להעתקת קבצים לכונן USB: שימור המחשב, ההתקן והלוגים

חיבור כונן USB למחשב אינו מוכיח שקבצים הועתקו אליו. הוא יכול להראות שהמערכת זיהתה התקן, ולעיתים גם מתי חובר ובאיזה חשבון היה שימוש, אך כדי לתמוך בהעתקה צריך לבדוק מקורות נוספים: אירועי גישה או DLP, מזהה ההתקן, מערכת הקבצים, מאפייני הקבצים, פעילות ענן, היסטוריית מסמכים והקשר ארגוני.

המדריך מיועד למעסיק, מנהל אבטחת מידע, עורך דין או חוקר המטפלים בחשד לדליפת מידע דרך דיסק־און־קי, כונן SSD חיצוני, כרטיס זיכרון או התקן נשלף אחר. הוא מסביר מה לעשות מיד, מה לא לעשות, ואיך לשמור את המחשב והכונן בלי לשנות את הראיות. אין בו היתר לתפוס רכוש פרטי, לפתוח התקן מוצפן, לעקוף סיסמה או לעיין במידע אישי ללא סמכות.

מה יכול להישאר אחרי שימוש בהתקן נשלף?

מה עושים בעשר הדקות הראשונות?

1. עוצרים פעולות לא חיוניות: אין למחוק חשבון, לפרמט כונן או להריץ כלי “ניקוי”.
2. מתעדים את המצב: מצלמים את המחשב, ההתקן, החיבורים, מסכים פתוחים ושעון המערכת.
3. לא שולפים אוטומטית: אם ההתקן עדיין מחובר, ניתוק לא מתוכנן יכול לפגוע בנתונים. יש לפנות למומחה לקבלת הנחיה לפי מצב המערכת.
4. לא מדליקים מחשב כבוי: הפעלה יוצרת אירועים ומשנה קבצים. שומרים אותו כפי שנמצא.
5. מזהים בעלי תפקיד: אבטחת מידע, משפטי, פרטיות ומשאבי אנוש לפי הצורך.
6. שומרים לוגים נדיפים: EDR, DLP, Microsoft Defender, VPN, ענן וקבצים כפופים לתקופות שמירה.
7. מגדירים טווח מצומצם: אילו קבצים, משתמשים, מחשבים ושעות באמת רלוונטיים.
8. מתעדים כל מסירה: מי לקח את המחשב או הכונן, מתי, מאיפה ולאן.

הורדת טבלת מלאי לכונן USB וראיות נלוות

הטבלה מרכזת תיאור פיזי, מזהים, זמני חיבור, מקור לוג, נתיבי קבצים, Hash, שיטת איסוף ושרשרת שמירה. אין למלא נתונים שאינכם מורשים לאסוף.

המחשב והכונן הם שני מוצגים נפרדים

לעיתים הארגון מחזיק רק במחשב, לעיתים רק בכונן, ולעיתים בשניהם. כל אחד מהם יכול להכיל חלק אחר מהתמונה. במחשב עשויים להימצא רישומי חיבור, מסמכים אחרונים, קיצורי דרך, קבצי תור וסימני פתיחה. בכונן עשויים להימצא הקבצים עצמם, מבנה תיקיות ושרידי מחיקה.

אין להעתיק את תוכן הכונן לתיקייה רגילה ולהציג זאת כ“גיבוי פורנזי”. העתקת קבצים שומרת חלק מן התוכן, אך עלולה לא לשמר שטח לא מוקצה, פריטים שנמחקו, מבנה מלא ומאפיינים מסוימים. במקרים מהותיים יוצרים Image מקצועי באמצעות כלים ושיטות מתועדות.

מהו Write Blocker ולמה הוא חשוב?

Write blocker הוא אמצעי חומרה או תוכנה שנועד למנוע כתיבה למדיה בזמן האיסוף. מטרתו לצמצם שינויים אוטומטיים שמערכת ההפעלה עלולה לבצע כאשר כונן מחובר, כגון אינדוקס, קבצי מערכת או עדכון מאפיינים. השימוש בו אינו מבטיח לבדו שהאיסוף תקין; יש לתעד את הכלי, הגרסה, תוצאות הבדיקה והפעולות שבוצעו.

אין להשתמש בפתרון מאולתר או להניח שהגדרת “Read Only” בממשק מספיקה לכל סוג התקן. כוננים מוצפנים, התקנים עם תוכנה פנימית ו־USB שמציג כמה ממשקים דורשים טיפול מקצועי.

מזהה USB: מספר סידורי אינו תמיד תשובה מלאה

מערכת יכולה להציג יצרן, דגם, Vendor ID, Product ID, Device Instance ID ומספר סידורי. חלק מההתקנים אינם מספקים מספר סידורי ייחודי, וחלקם יכולים להציג מזהים משתנים או משוכפלים. לכן “אותו דגם” אינו “אותו כונן”.

תיעוד נכון כולל גם מאפיינים פיזיים: צבע, קיבולת כתובה, מדבקות, שריטות, אריזה וצילום מכל הצדדים. אם נמצאו כמה התקנים דומים, לכל אחד ניתן מזהה מוצג נפרד.

Microsoft Defender ו־Device Control: מה אפשר לראות?

בארגון שבו Microsoft Defender for Endpoint ו־Device Control הוגדרו מראש, דוחות ואירועי Advanced Hunting עשויים להציג חיבור וניתוק של כונן, Plug and Play, הפעלת מדיניות, גישה שנדרשה והחלטת Allow או Deny. בחלק מההגדרות ניתן לתעד פרטי התקן, משתמש, נתיב וגודל קובץ.

אבל היכולת תלויה ברישוי, בגרסת הלקוח, במדיניות ובמועד שבו הופעלה. אם לא הוגדר Audit מתאים לפני האירוע, אי אפשר להבטיח שקיימת היסטוריה מלאה. גם אירוע Policy Triggered עשוי לתעד ניסיון או החלטת מדיניות, לא בהכרח השלמה מוצלחת של העתקה.

חיבור, קריאה, כתיבה והעתקה הם אירועים שונים

Mount מאפשר למערכת לראות את הכונן. Read יכול להיות צפייה ברשימת תיקיות או פתיחת קובץ. Write יכול להיות יצירה, שינוי, מחיקה או כתיבת נתוני מערכת. Copy היא פעולה לוגית שיכולה ליצור קובץ חדש ביעד, אך תיעודה תלוי בכלים ובהגדרות.

בניתוח יש להימנע ממשפט כמו “הכונן חובר, ולכן נגנבו מסמכים”. ניסוח מדויק יותר עשוי להיות: “המערכת זיהתה התקן בעל מאפיינים אלה בזמן מסוים; נמצאו אירועים וקבצים התואמים לטווח הבדיקה; הייחוס והיקף ההעתקה דורשים הצלבה נוספת”.

מאפייני קבצים: למה זמן יצירה יכול להטעות?

בעת העתקה, מערכות קבצים שונות מטפלות בזמני יצירה, שינוי וגישה בדרכים שונות. זמן יצירה בכונן עשוי להיות זמן ההעתקה, בעוד זמן שינוי נשמר מן המקור. שעון מערכת שגוי, אזור זמן, סנכרון ענן, דחיסה או חילוץ יכולים לשנות את התמונה.

אין להסיק מהשוואת תאריך אחת בלבד. בודקים נתיב, שם, גודל, Hash, מערכת קבצים, זמני מקור ויעד ולוגים חיצוניים. שני קבצים בעלי אותו שם אינם בהכרח זהים; Hash זהה מחזק זהות תוכן, אך אינו מספר מי העתיק ולמה.

קבצים שנמחקו מהכונן

מחיקה רגילה אינה תמיד מוחקת מיד את כל תוכן הקובץ, אך שימוש נוסף בכונן יכול לדרוס את השטח ולהקטין את סיכויי השחזור. לכן אין להמשיך לעבוד עם ההתקן ואין להריץ תוכנת שחזור חינמית על המקור. שחזור נעשה מעותק עבודה או Image, תוך תיעוד השיטה.

גם קובץ ששוחזר עשוי להיות חלקי או חסר מאפיינים. יש לסמן בבירור שהוא שוחזר, לתעד את מקורו ולא להציגו כזהה לקובץ מקורי בלי בדיקה.

כונן מוצפן או מוגן בסיסמה

אין לנחש סיסמאות, לעקוף הצפנה או לדרוש מעובד למסור סוד גישה בלי ייעוץ משפטי וסמכות. ניסיונות כניסה יכולים לנעול התקן, להפעיל מחיקה או לשנות לוגים. אם מפתח שחזור ארגוני קיים כחוק, יש לתעד מי ניגש אליו ומתי.

הצפנה אינה ראיה לאשמה. היא אמצעי אבטחה מקובל להגנת מידע, כפי שמדגישות גם הנחיות סייבר. מסקנה חקירתית צריכה להתבסס על התוכן, המדיניות, ההרשאות והפעולות, לא על עצם השימוש בהצפנה.

USB לא מוכר עלול להיות גם איום סייבר

התקן שנמצא בחניה או התקבל בדואר עלול להכיל נוזקה, להציג עצמו כמקלדת או לנצל הפעלה אוטומטית. אין לחברו לרשת הארגונית. גורם אבטחת מידע יכול לבדוק אותו בסביבה מבודדת ולשקול צעדי תגובה נוספים.

אם הכונן כבר חובר, יש לשמר גם לוגי Endpoint, התראות אנטי־וירוס, תהליכים, חיבורי רשת וחשבונות. המטרה הראשונה היא לעצור נזק, אך יש לתעד פעולות תגובה כדי להבחין ביניהן לבין פעילות החשוד.

פרטיות עובדים והליך הוגן

בדיקת מחשב עבודה וכונן יכולה לחשוף קבצים אישיים, מידע רפואי, תכתובות פרטיות או חומר שאינו קשור לאירוע. יש להגדיר מטרה, טווח קבצים, תאריכים ובעלי תפקיד, ולצמצם את הבדיקה למינימום הנדרש. בעלות המעסיק על המחשב אינה מבטלת את הצורך במידתיות ובבחינת הדין והמדיניות.

אין לבצע חיפוש רחב כדי “למצוא משהו” ואין לשנות הרשאות או להיכנס לחשבונות אישיים ללא בסיס מתאים. במחלוקת מהותית מומלץ לערב עורך דין וגורם פרטיות לפני האיסוף.

תרחיש מדומה: הכונן חובר, אבל הקבצים לא יצאו ממנו

התרחיש הבא בדיוני לחלוטין ונועד להמחשה בלבד. יום לפני שעובד עזב את החברה נרשם חיבור של כונן USB למחשבו. נטען שהוא העתיק את מאגר הלקוחות. בדיקת Device Control הראתה שהמדיניות אפשרה קריאה אך חסמה כתיבה. בכונן נמצאו מצגות אישיות ישנות, ולא נמצא קובץ התואם למאגר.

במקביל, לוגי הענן הראו שהמאגר הורד למחשב שעות קודם, אך קובץ היעד נמחק לפני חיבור הכונן. המסקנה הזהירה הייתה שהכונן חובר ושהתרחשה הורדה נפרדת מן הענן; לא נמצאה תמיכה מספקת לכך שהמאגר נכתב לכונן. ההפרדה בין האירועים מנעה האשמה שגויה.

צ׳קליסט למסירה לחוקר דיגיטלי

• המחשב והכונן קיבלו מזהי מוצג נפרדים.
• תועד המצב בעת הקבלה, כולל אם המכשיר היה דולק.
• צולמו ההתקן, החיבורים והמאפיינים הפיזיים.
• נשמרו לוגי EDR, DLP, ענן ושרת לפני תפוגה.
• תועדו משתמש, מחשב, אזור זמן וטווח האירוע.
• הכונן לא חובר למחשב רגיל ולא שונה.
• תועדה שיטת האיסוף והשימוש ב־Write blocker.
• המקור נשמר בנפרד מעותק העבודה.
• חושב Hash כאשר הדבר בוצע בתהליך מקצועי.
• כל מסירה, פתיחה והחזרה נרשמו.
• הדו״ח מפריד בין חיבור, גישה, כתיבה והעתקה.

שאלות נפוצות

האם לוג שמראה חיבור USB מוכיח העתקת קבצים?

לא. הוא מוכיח לכל היותר שהמערכת זיהתה התקן בהתאם לנתוני הלוג. נדרשים אירועי גישה, קבצים, מאפיינים ומקורות נוספים.

האם מותר לפתוח את הכונן במחשב אחר?

לא מומלץ. החיבור יכול לשנות את המקור או להפעיל נוזקה. במקרה משמעותי יש להעבירו לבדיקה מקצועית עם הגנת כתיבה.

האם Hash מוכיח מי העתיק את הקובץ?

לא. Hash זהה מחזק ששני קבצים מכילים אותו תוכן, אך אינו מוכיח מי ביצע את ההעתקה, מתי או באיזו דרך.

האם אפשר לשחזר קובץ שנמחק?

לעיתים כן, אך הסיכוי תלוי בסוג המדיה ובשימוש שנעשה בה. אין להריץ שחזור על המקור; פונים למומחה ושומרים את ההתקן ללא שינוי.

מקורות רשמיים והמשך קריאה

• NIST: שימור ראיות דיגיטליות ומדיה פיזית
• Microsoft Learn: Device Control להתקנים נשלפים
• Microsoft Learn: אירועי חיבור וניתוק של USB
• Microsoft Learn: הרשאות Read, Write ו־Execute במדיה נשלפת
• CISA: הגנה על מידע בכוננים חיצוניים
• CISA: סיכונים בשימוש בהתקנים ניידים

עודכן לאחרונה: 28 באוגוסט 2026. המידע כללי ואינו מחליף ייעוץ משפטי, תגובה לאירוע סייבר או בדיקה פורנזית מוסמכת.