La computer forensics è la raccolta, l'esame e la valutazione metodica delle tracce digitali presenti sui computer e sui relativi supporti di memorizzazione. Ciò include, a titolo esemplificativo ma non esaustivo, PC desktop, notebook, sistemi Windows, Mac, dispositivi di archiviazione interni ed esterni e dati generati da programmi, account utente, browser e sistemi operativi.

L'attenzione non si concentra semplicemente sulla presenza di file su un computer. La computer forensics cerca piuttosto di ricostruire i processi tecnici in modo tracciabile: quando è stato creato, aperto, modificato o eliminato un file? Quali programmi sono stati utilizzati? Quali utenti erano connessi? Quali dispositivi USB sono stati collegati? Sono stati copiati, scaricati o trasferiti file su dispositivi di archiviazione esterni?

La computer forensics è quindi uno dei settori centrali della informatica forense . Il suo valore particolare risiede nella capacità di combinare diverse tracce digitali e ricostruire una sequenza di eventi tecnicamente comprensibile.

Che cosa si intende esattamente per informatica forense?

La computer forensics, spesso chiamata anche informatica forense, si occupa dell'indagine forense dei sistemi informatici e dei relativi dati.

Non si tratta solo di recuperare i file cancellati. Sono di interesse anche i file esistenti, le informazioni sul file system, l'attività dell'utente, i registri di sistema, i dati del registro di sistema, gli artefatti del browser, le tracce dei programmi, i dispositivi esterni, le informazioni di rete e numerose altre fonti di dati.

Un'indagine professionale si articola in tre aree: la messa in sicurezza controllata dei dati di origine, l'analisi tecnica dei dati ottenuti e la valutazione comprensibile dei risultati.

Quali computer possono essere sottoposti ad analisi forense?

In linea di principio, numerosi sistemi informatici possono essere oggetto di un'indagine forense.

Ciò include PC desktop tradizionali, notebook, workstation e altri sistemi informatici. I dispositivi che utilizzano Microsoft Windows o Apple macOS vengono esaminati con particolare frequenza.

Grazie alla sua ampia diffusione e ai numerosi artefatti generati dal sistema operativo, Windows offre vaste possibilità di analisi. LB Forensics si occupa di queste indagini separatamente nella sezione dedicata alla computer forensics per Windows.

I computer Apple possiedono caratteristiche tecniche uniche, tra cui macOS, APFS, FileVault e l'architettura hardware proprietaria di Apple. È qui che entra in gioco la computer forensics per Mac.

Perché un computer lascia così tante tracce digitali?

Un sistema operativo deve gestire continuamente le informazioni affinché il computer funzioni. Vengono avviati programmi, aperti file, effettuati accessi utente, montati dispositivi di archiviazione e stabilite connessioni di rete.

Molti di questi processi producono artefatti tecnici.

Ad esempio, un utente può aprire un documento. Oltre al file vero e proprio, questa operazione può generare tracce aggiuntive: voci relative ai file utilizzati di recente, file temporanei, collegamenti, informazioni sui programmi o timestamp del file system.

Il valore forense spesso deriva proprio da queste tracce indirette.

Quali dati possono essere esaminati nell'ambito della computer forensics?

La quantità di dati potenzialmente raccoglibili è considerevole e dipende dal sistema operativo, dalle applicazioni installate, dall'utilizzo del computer e dalla specifica domanda posta.

Esempi di dati che possono essere esaminati includono documenti, immagini, video, archivi, e-mail, dati del browser, download, account utente, registri di sistema, tracce di programmi, metadati dei file, file temporanei, contenuto del cestino e dati eliminati.

Altre fonti rilevanti possono includere informazioni su dispositivi USB, dischi rigidi esterni, connessioni di rete, applicazioni cloud e programmi installati o rimossi.

Perché la computer forensics inizia con una domanda?

Un computer moderno può contenere milioni di file e un'enorme quantità di metadati tecnici. Pertanto, un'analisi indiscriminata di tutti questi dati non è né tecnicamente né economicamente sensata.

Dovrebbe iniziare con una domanda di ricerca specifica.

Alcuni esempi includono: Sono stati copiati dati aziendali specifici? Quando è stato eliminato un file? È stata collegata una particolare unità USB? Quali attività si sono svolte prima che un dipendente lasciasse l'azienda? È stato eseguito un malware? O ci sono prove di accessi non autorizzati?

La domanda posta indica quali fonti di dati dovrebbero essere prioritarie per l'indagine.

Perché non esaminare direttamente il computer?

Lavorare direttamente su un sistema originale pertinente alle prove può generare nuovi dati e modificare le informazioni esistenti.

Anche il normale avvio di un sistema operativo comporta numerose operazioni di scrittura. I registri vengono aggiornati, vengono creati file temporanei e vengono modificati i timestamp.

Pertanto, in situazioni iniziali idonee, viene innanzitutto creato un backup forense dei dati.

Il metodo di backup più adatto dipende dal sistema. Un PC spento con un supporto di memorizzazione accessibile ma non crittografato rappresenta un punto di partenza diverso rispetto a un computer acceso e crittografato.

Che cos'è un'immagine forense di un computer?

Un'immagine forense è una copia di backup controllata di un supporto dati o di un insieme di dati definito, che può quindi servire come base per un'indagine.

Con i supporti dati tradizionali, un backup settore per settore può acquisire non solo i file visibili, ma anche le strutture del file system, le aree non allocate e altre informazioni.

Ciò consente di esaminare dati che non verrebbero acquisiti durante una normale operazione di copia tramite Esplora file.

Qual è la differenza tra una copia normale e un backup forense?

Quando si copia una cartella da un computer a un disco rigido esterno, di solito si esegue il backup solo dei file visibili e selezionati.

Tuttavia, per un'indagine forense, le informazioni al di fuori di questi file potrebbero essere rilevanti.

Ciò include, ad esempio, metadati del file system, voci di directory eliminate, aree di archiviazione non allocate o altre strutture tecniche.

Una normale copia di file e un'immagine disco forense servono quindi a scopi diversi.

Che ruolo svolgono i valori hash?

I valori hash possono essere utilizzati per caratterizzare matematicamente un insieme di dati digitali e per rilevare modifiche successive.

Ad esempio, se viene creata un'immagine forense , è possibile documentare il valore hash crittografico dei dati protetti. Se lo stesso valore hash viene calcolato nuovamente in seguito e risulta corrispondente, ciò suggerisce che i dati in questione sono rimasti invariati tra i due calcoli.

L'articolo "Valore hash nella digital forensics" spiega come vengono utilizzati i metodi di hashing nella digital forensics.

Il valore hash dimostra che un backup è completo?

No. Bisogna distinguere tra integrità e completezza.

Un valore hash può verificare l'integrità dell'esatto set di dati da cui è stato calcolato.

Tuttavia, ciò non dimostra automaticamente che tutte le informazioni teoricamente disponibili siano state acquisite durante l'acquisizione originale.

Pertanto, è necessario documentare con precisione cosa è stato messo in sicurezza e con quale metodo.

Che ruolo svolge un blocco di scrittura?

Durante le attività di messa in sicurezza forense di supporti dati idonei, un blocco di scrittura hardware o software può impedire al sistema di indagine di trasmettere comandi di scrittura al supporto dati di origine.

Ciò è particolarmente importante negli esami tradizionali dei supporti dati, poiché è necessario evitare modifiche involontarie all'originale.

Tuttavia, un blocco di scrittura non è uno strumento universale adatto a ogni possibile situazione informatica. Potrebbero essere necessari altri metodi di acquisizione nei sistemi in esecuzione o con determinate architetture di archiviazione e crittografia moderne.

Che ruolo svolge la catena di custodia?

Nelle indagini relative alle prove, non è sufficiente analizzare solo i dati tecnici.

È necessario documentare chiaramente quale dispositivo è stato preso il controllo, quando ciò è avvenuto, le sue condizioni, quale backup è stato creato e come i dati sono stati successivamente gestiti.

Questa catena di prove collega il dispositivo sorgente fisico con l'insieme di dati che viene successivamente esaminato.

Cosa viene esaminato su un PC Windows?

Windows genera un gran numero di fonti di dati rilevanti ai fini forensi.

Ciò include, tra le altre cose, registri eventi, strutture del registro di sistema, informazioni sul file system, collegamenti, informazioni sui file utilizzati di recente, dati del browser, profili utente e tracce dei dispositivi connessi.

A seconda della domanda posta, queste fonti possono essere combinate per ricostruire le attività degli utenti e del sistema.

Cos'è il Registro di sistema di Windows?

Il Registro di sistema di Windows è un database di configurazione centrale del sistema operativo.

Contiene informazioni sulle configurazioni di sistema, le impostazioni utente, i programmi e numerose altre funzioni.

Nell'ambito della computer forensics, determinate aree del registro di sistema possono fornire indizi sull'attività dell'utente, sui dispositivi connessi o sul software installato.

Tuttavia, le informazioni che una voce del registro di sistema può effettivamente consentire dipendono dalla sua specifica funzione.

Qual è l'importanza dei registri eventi di Windows?

Windows registra numerosi eventi di sistema e di sicurezza.

A seconda della configurazione e dei criteri di conservazione, i registri eventi possono contenere informazioni relative ad esempio ad accessi, avvii di sistema, errori, servizi o eventi di sicurezza.

Non tutti gli eventi vengono registrati automaticamente e i registri possono essere limitati, sovrascritti o eliminati. Pertanto, l'assenza di una determinata voce non dimostra necessariamente che un evento non si sia mai verificato.

È possibile ricostruire gli accessi degli utenti?

In condizioni appropriate, diversi artefatti di sistema possono fornire indizi su quando gli account utente sono stati connessi.

Tuttavia, per una valutazione affidabile, occorre distinguere tra un account utente e la persona fisica che effettivamente agisce.

Un account registrato inizialmente mostra quale account è stato tecnicamente utilizzato. Tuttavia, questo non rivela automaticamente e inequivocabilmente chi si trovava davanti al computer.

È possibile ricostruire l'attività dell'utente?

In alcuni casi, le attività possono essere ricostruite con grande dettaglio.

Esempi di dati rilevanti includono file aperti, programmi avviati, attività del browser, download, dispositivi di archiviazione esterni e altri eventi di sistema.

Tuttavia, normalmente non esiste una registrazione completa e ininterrotta di ogni azione dell'utente.

La computer forensics, pertanto, ricostruisce gli eventi a partire dalle tracce effettivamente presenti.

È possibile identificare i file aperti di recente?

Windows e diverse applicazioni generano artefatti relativi ai file utilizzati di recente.

Tali informazioni possono essere molto preziose per ricostruire l'attività dell'utente.

Tuttavia, una voce deve essere interpretata correttamente da un punto di vista tecnico. A seconda del manufatto, potrebbe, ad esempio, indicare apertura, selezione, accesso o un'altra interazione.

È possibile determinare quando è stato creato un file?

I file system memorizzano vari timestamp relativi a file e directory.

Questi elementi possono fornire indizi sui tempi di creazione e modifica.

Tuttavia, l'interpretazione non è sempre semplice. Processi di copia, sincronizzazione, ripristino o software possono alterare i timestamp.

Pertanto, un singolo timestamp di un file non dovrebbe essere interpretato come un orario di creazione inconfutabile se non contestualizzato.

È possibile determinare quando un file è stato aperto?

Ciò dipende dal sistema operativo, dal file system, dal programma utilizzato e dagli artefatti esistenti.

Un computer può lasciare tracce indirette dell'utilizzo dei file, ad esempio tramite file utilizzati di recente, collegamenti o dati specifici delle applicazioni.

Tuttavia, non esiste una cronologia di apertura completa e memorizzata in modo permanente per ogni file.

È possibile determinare quando un file è stato modificato?

I metadati del file system possono contenere un timestamp di modifica.

Tuttavia, questo valore deve essere interpretato correttamente. Operazioni diverse possono influenzare campi temporali diversi.

Pertanto, ove possibile, è opportuno utilizzare reperti aggiuntivi per giungere a conclusioni importanti.

È possibile stabilire quando un file è stato eliminato?

In determinate condizioni, il file system e altri artefatti di sistema possono fornire indizi sui processi di eliminazione.

Tuttavia, non è immediatamente disponibile un orario di cancellazione preciso per ogni file system e per ogni situazione iniziale.

In Windows, ad esempio, le strutture del Cestino possono contenere informazioni aggiuntive se il file è stato eliminato tramite il Cestino e i metadati corrispondenti sono ancora presenti.

È possibile recuperare i file cancellati?

Sì, a determinate condizioni.

Con i tradizionali dischi rigidi magnetici, i dati cancellati potrebbero essere ancora presenti nelle aree di memoria non allocate, a condizione che tali aree non siano state sovrascritte.

La situazione è più complessa con gli SSD. Funzionalità come TRIM e la pulizia della memoria interna possono far sì che i dati cancellati diventino irrecuperabili molto più rapidamente.

Chiunque desideri recuperare i dati dovrebbe quindi evitare di utilizzare inutilmente il sistema interessato. LB Forensics tratta questo argomento anche nella sezione Recupero dati.

Perché gli HDD e gli SSD differiscono dal punto di vista forense?

I dischi rigidi magnetici e le unità a stato solido gestiscono i dati in modi tecnicamente diversi.

Su un disco rigido tradizionale, l'eliminazione di un file inizialmente può comportare solo la segnalazione delle relative aree di archiviazione come nuovamente disponibili da parte del file system.

Le unità SSD, d'altro canto, utilizzano memoria flash, controller e meccanismi di gestione interni. La funzione TRIM può indicare all'unità quali blocchi non sono più necessari al file system.

Ciò modifica significativamente le possibilità di recupero dei dati cancellati.

Che ruolo svolge la crittografia?

La crittografia può influenzare significativamente l'accesso forense.

I sistemi Windows possono essere protetti, ad esempio, con BitLocker. Sui Mac è possibile utilizzare FileVault.

Se un supporto dati è completamente crittografato e non sono disponibili opzioni di accesso adeguate, un backup fisico potrebbe essere in grado di acquisire i dati crittografati, ma il suo contenuto non potrà essere facilmente analizzato.

Lo stato del sistema al momento dell'acquisizione può quindi essere cruciale.

Perché un computer acceso può costituire una preziosa prova forense?

Un computer acceso può contenere informazioni che non sono più disponibili nella stessa forma dopo lo spegnimento.

Ciò può includere, ad esempio, supporti di dati decrittografati, sessioni utente attive, processi in esecuzione, connessioni di rete o dati volatili in memoria.

Uno spegnimento riflesso può portare alla perdita di tali informazioni.

Un computer sospetto deve essere spento immediatamente?

Non esiste una risposta universalmente valida.

Arrestare un sistema crittografato in esecuzione può ostacolare significativamente l'accesso successivo. Tuttavia, in caso di attacco informatico in corso, un sistema che rimane operativo può consentire ulteriori comunicazioni o modifiche.

La misura appropriata dipende quindi dall'incidente, dallo stato del sistema e dall'obiettivo dell'indagine.

Che cos'è la digital forensics in tempo reale?

La digital forensics si riferisce all'esame o all'acquisizione di informazioni specifiche da un sistema in esecuzione.

Ciò può includere, ad esempio, la memoria di lavoro, i processi in esecuzione, le connessioni di rete attive, gli utenti connessi o le informazioni sui supporti di archiviazione crittografati montati.

La differenza principale rispetto alla classica analisi forense offline è che il lavoro viene svolto su un sistema in esecuzione, il che inevitabilmente comporta alcune modifiche di stato.

Che cos'è la forensica offline?

Un esame offline prevede l'analisi di un sistema non in esecuzione o di un supporto dati protetto.

Ciò consente un'indagine controllata senza che il sistema operativo originale generi continuamente nuovi dati durante l'analisi.

Laddove tecnicamente possibile, le analisi vengono pertanto preferibilmente eseguite su set di dati protetti in modo forense.

Che cos'è la RAM forensics?

La memoria principale di un computer in funzione può contenere informazioni volatili che non sono presenti sul supporto di memorizzazione, o non sono presenti nella stessa forma.

Ciò può includere processi in corso, stati della rete e altre informazioni temporanee.

Quando un computer viene spento, il contenuto della sua RAM viene generalmente perso. Pertanto, un backup della RAM può essere utile in determinati casi di sicurezza.

È possibile rilevare le chiavette USB?

I sistemi Windows possono lasciare tracce di varie informazioni relative ai dispositivi USB collegati.

A seconda del dispositivo e del set di dati, potrebbero essere presenti informazioni quali i dettagli del produttore, gli identificativi del prodotto, i numeri di serie o i riferimenti temporali.

Ciò consente, in determinate condizioni, di ricostruire se uno specifico dispositivo USB è stato collegato a un computer.

È possibile stabilire quale chiavetta USB è stata utilizzata?

Alcuni dispositivi di archiviazione USB possono contenere informazioni univoche o quantomeno distinguibili.

Ciò potrebbe consentire di collegare uno specifico supporto dati alle tracce presenti sul computer esaminato.

Tuttavia, l'identificabilità esatta dipende dal dispositivo e dalle informazioni di sistema memorizzate.

È possibile determinare quali file sono stati copiati su una chiavetta USB?

Si tratta di una questione più complessa del semplice dimostrare che un dispositivo USB è collegato.

Windows non mantiene automaticamente un registro completo e immodificabile di tutte le operazioni di copia dei file.

In determinate circostanze, tuttavia, è possibile correlare informazioni sul file system, file utilizzati di recente, collegamenti, timestamp e altri elementi.

Ciò potrebbe consentire di supportare o ricostruire tecnicamente un processo di copia.

È possibile rilevare i dischi rigidi esterni?

Anche i dischi rigidi esterni USB e le unità SSD possono lasciare tracce nel sistema operativo.

L'indagine può quindi includere sia il computer che il dispositivo di archiviazione dati esterno in questione.

Se entrambi i sistemi sono disponibili, è possibile confrontare le informazioni relative ai file, ai metadati e ai tempi di accesso.

È possibile tracciare le operazioni di copia dei file?

Sì, a determinate condizioni.

Le prove diventano più conclusive quando diverse tracce indipendenti coincidono. Un dispositivo di archiviazione connesso, nomi di file corrispondenti, timestamp corrispondenti e altri artefatti di sistema possono, nel loro insieme, fornire un quadro significativamente più solido rispetto a una singola scoperta.

Tuttavia, una cronologia completa delle copie non esiste automaticamente.

È possibile stabilire se i file sono stati copiati su un servizio cloud?

Le applicazioni cloud possono lasciare tracce locali, come directory sincronizzate, configurazioni di programmi, file di cache o informazioni di registro.

La possibilità di dimostrare l'avvenuto caricamento di un determinato file dipende dal servizio utilizzato e dai dati ancora disponibili.

Per alcune questioni, potrebbe essere necessario un ulteriore esame dell'account cloud in questione.

È possibile esaminare le email su un computer?

Sì. I dati delle e-mail possono essere memorizzati localmente nei programmi di posta elettronica, nei dati del browser, negli allegati, nelle aree di cache o in altre strutture di archiviazione.

A seconda della domanda, il contenuto del messaggio, le informazioni dell'intestazione, gli allegati e le informazioni temporali possono essere rilevanti.

I sistemi di posta elettronica basati sul cloud richiedono una distinzione tra elementi disponibili localmente e dati lato server.

È possibile analizzare l'attività del browser?

I browser sono tra le fonti di dati più importanti nell'ambito della computer forensics.

A seconda del browser e della configurazione, potrebbero essere presenti cronologia, download, cookie, cache, informazioni di sessione e altri dati.

Queste informazioni possono aiutare a ricostruire i siti web visitati, i download o le cronologie.

È possibile rilevare la modalità di navigazione in incognito o privata?

Le modalità di navigazione privata riducono la memorizzazione di determinate informazioni nel rispettivo browser.

Tuttavia, ciò non significa automaticamente che non possano rimanere tracce tecniche nell'intero sistema.

Altri componenti del sistema, servizi di rete o sistemi esterni possono generare informazioni in modo indipendente.

La possibilità di dimostrare successivamente una specifica attività di navigazione privata dipende dalle fonti di dati disponibili.

È possibile tracciare i download?

I download possono lasciare tracce nel browser, nel file system, nella directory di download e potenzialmente in altri artefatti di sistema.

Anche se un file scaricato viene successivamente eliminato, in determinate condizioni potrebbero rimanere tracce del download.

È possibile rilevare i programmi installati?

Sì. I sistemi operativi e le applicazioni lasciano dietro di sé molte informazioni sul software installato.

In ambiente Windows, ad esempio, possono essere rilevanti le voci del registro di sistema, le directory dei programmi, i dati di installazione e altri artefatti di sistema.

La prova esatta dipende dalle informazioni ancora disponibili.

È possibile rilevare i programmi disinstallati?

Sì, a determinate condizioni.

La disinstallazione di un'applicazione non elimina necessariamente tutte le tracce. Directory, dati di configurazione, file di registro o altre informazioni di sistema potrebbero rimanere.

Tuttavia, la presenza di tali tracce deve essere valutata da un professionista, poiché una quantità residua non dimostra automaticamente quando o per quanto tempo il programma è stato utilizzato.

È possibile rilevare malware su un computer?

Sì. Se si sospetta la presenza di malware, è possibile esaminare file, processi, meccanismi di avvio automatico, modifiche al sistema, tracce di rete e altri indicatori.

Un esame di questo tipo va oltre una normale scansione antivirus.

Ad esempio, può essere rilevante sapere quando un file sospetto è entrato nel sistema, se è stato eseguito, quali modifiche ha causato e se altri sistemi potrebbero essere stati interessati.

È possibile ricostruire un accesso non autorizzato?

In determinate condizioni, gli eventi di accesso, i log di sistema, i dati di rete, le attività degli utenti e altri elementi possono fornire prove di accessi non autorizzati.

La rilevanza dei risultati dipende in larga misura dal tipo di sistema di registrazione dei dati in vigore e dai dati ancora disponibili.

Un indirizzo IP o un singolo accesso effettuato non identificano necessariamente una persona fisica specifica.

Che ruolo svolgono i metadati dei file?

Oltre al contenuto visibile, i file spesso contengono metadati tecnici.

Ciò può includere timestamp del file system, informazioni sulle dimensioni e, a seconda del formato del file, metadati interni aggiuntivi.

Documenti d'ufficio, immagini, file PDF e altri formati possono contenere ciascuno le proprie informazioni.

I metadati forniscono informazioni preziose, ma devono essere interpretati in modo critico perché a volte possono essere alterati.

È possibile rilevare timestamp manipolati?

In determinate condizioni, è possibile individuare delle discrepanze.

Un timestamp sospetto non viene considerato isolatamente. Può essere confrontato con informazioni sul file system, artefatti dell'applicazione, dati di registro e altri eventi.

Se diverse fonti di dati indipendenti si contraddicono a vicenda, ciò potrebbe indicare un cambiamento.

Che cos'è l'analisi della sequenza temporale?

In un'analisi cronologica, le informazioni temporali provenienti da diverse fonti di dati vengono combinate.

Ciò permette, ad esempio, di ricostruire quali eventi si sono verificati immediatamente prima o dopo un determinato processo.

Una cronologia di questo tipo può collegare eventi del file system, attività dell'utente, utilizzo dei programmi, dati del browser e registri di sistema.

È particolarmente utile quando l'obiettivo è esaminare non solo un singolo ritrovamento, ma un intero processo.

Perché la correlazione di più tracce è così importante?

Un singolo artefatto digitale ha spesso un potere esplicativo limitato.

Una voce USB può indicare che un dispositivo è stato collegato. Un artefatto di file può mostrare che un documento è stato utilizzato. Un timestamp può fornire un contesto temporale.

Quando più fonti di dati tecnicamente indipendenti confermano la stessa sequenza di eventi, la ricostruzione diventa significativamente più affidabile.

La computer forensics può indagare sul furto di dati?

Sì. Soprattutto nei casi sospetti all'interno delle aziende, la computer forensics può svolgere un ruolo centrale.

Esempi di dati che possono essere esaminati includono dispositivi USB, supporti di archiviazione esterni, applicazioni cloud, attività di posta elettronica, accesso ai file e altre tracce tecniche.

La semplice esistenza di file riservati su un computer non prova, tuttavia, il furto di dati. Ciò che è fondamentale è ricostruire il possibile percorso della fuga di dati.

È possibile ricostruire le attività degli ex dipendenti tramite la computer forensics?

In determinate circostanze, è possibile esaminare le attività svolte da un dipendente nel periodo precedente alla sua cessazione del rapporto di lavoro.

Particolarmente rilevanti sono gli accessi ai file, i supporti di memorizzazione esterni, i servizi cloud, le attività del browser, la posta elettronica, i processi di eliminazione e i programmi installati.

Quanto prima un dispositivo interessato viene messo in sicurezza, tanto minore sarà il rischio che le tracce rilevanti vengano alterate o sovrascritte durante un utilizzo successivo.

La computer forensics può dimostrare chi ha compiuto un'azione?

Questo è spesso più difficile della dimostrazione tecnica dell'azione stessa.

Ad esempio, un computer può mostrare che un'attività si è svolta con uno specifico account utente. Ciò non significa automaticamente che solo il titolare dell'account abbia agito personalmente.

Pertanto, per un incarico specifico per una persona, occorre tenere conto di ulteriori circostanze tecniche e fattuali.

Qual è la differenza tra informatica forense e recupero dati?

Il recupero dei dati si concentra principalmente sul rendere nuovamente accessibili i dati persi o cancellati.

La computer forensics pone ulteriori domande: da dove proviene un file? Quando è stato creato o modificato? Quali altre tracce di sistema sono associate ad esso? I dati sono stati sottoposti a backup in modo affidabile? Quali conclusioni si possono effettivamente trarre da un punto di vista tecnico?

Pertanto, il recupero di un file non rappresenta automaticamente il risultato finale di un'indagine forense.

Qual è la differenza tra informatica forense e sicurezza informatica?

La sicurezza informatica mira, tra le altre cose, a proteggere i sistemi da attacchi, perdita di dati e accessi non autorizzati.

La computer forensics, d'altro canto, esamina le tracce digitali esistenti, spesso dopo che si è già verificato un evento specifico o è sorto un sospetto.

Entrambi i settori si sovrappongono negli incidenti di sicurezza, ma perseguono obiettivi principali diversi.

Che ruolo svolge la computer forensics negli attacchi informatici?

A seguito di un attacco informatico, i sistemi informatici potrebbero contenere informazioni importanti sull'incidente.

Possibili domande includono: Come ha fatto un utente malintenzionato ad accedere al sistema? Quali account utente sono stati utilizzati? Quale malware è stato eseguito? Quali dati potrebbero essere stati alterati o trasmessi?

In questo contesto, l'analisi forense dei supporti di dati, l'analisi della memoria, la valutazione dei log e i dati di rete possono tutti risultare rilevanti insieme.

Cosa dovrebbe evitare un'azienda in caso di sospetto?

Un dispositivo potenzialmente rilevante non dovrebbe essere utilizzato inutilmente.

Può essere altrettanto problematico esaminare manualmente i file, installare programmi, modificare gli account utente o eliminare dati presumibilmente sospetti.

Tali misure possono alterare proprio quelle tracce che in seguito saranno necessarie per la ricostruzione.

Quali aspetti bisogna considerare quando si utilizza un PC per la raccolta di prove spento?

Se un computer in questione è già spento, non deve essere riavviato normalmente solo per visualizzarne i file.

L'avvio regolare del sistema genera nuove attività del sistema operativo e può modificare le tracce esistenti.

Il metodo di backup appropriato deve quindi essere determinato prima del successivo avvio.

Quali aspetti bisogna considerare quando si utilizza un PC a fini probatori?

Un computer acceso non dovrebbe essere azionato o spento in modo automatico.

In particolare nei casi di crittografia o di un incidente di sicurezza in corso, le informazioni volatili possono essere rilevanti.

La decisione tra backup in tempo reale, isolamento e arresto controllato deve essere presa in base al caso specifico.

Qual è la procedura tipica per un'indagine forense informatica?

Innanzitutto, viene definita la domanda di ricerca e viene documentato il sistema in questione.

Il passo successivo, a seconda dello stato del dispositivo, consiste nel determinare quali dati devono essere salvati per primi. Per i sistemi spenti, potrebbe trattarsi di un backup forense dei dati. Per i sistemi in funzione, potrebbero essere rilevanti anche i dati volatili.

Dopo il backup dei dati, questi vengono elaborati e analizzati in base alla domanda di ricerca.

I reperti pertinenti vengono esaminati, disposti in ordine cronologico e confrontati con altre fonti di dati. Solo successivamente si procede alla valutazione da parte degli esperti.

Perché è importante documentare l'indagine?

Una successiva valutazione dovrebbe essere in grado di tracciare quale sistema è stato esaminato, quali dati sono stati messi in sicurezza e su quale base è stato ottenuto il risultato.

Ciò include, ad esempio, informazioni sul dispositivo, metodo di backup, set di dati utilizzati, controlli di integrità e fasi di indagine pertinenti.

Soprattutto in caso di potenziali controversie legali, una metodologia comprensibile è più importante di una semplice raccolta di screenshot o risultati di ricerca.

Cosa non può fare la computer forensics?

La computer forensics non può generare informazioni che non esistono più o che sono tecnicamente inaccessibili.

Né è in grado di dedurre automaticamente una persona specifica, una motivazione o un'intenzione da ogni dato tecnico rilevato.

Il collegamento di un'unità USB non dimostra automaticamente che i file siano stati copiati. L'esistenza di un file non ne dimostra automaticamente l'origine. Un account utente non identifica in modo univoco la persona che agisce in ogni situazione.

Pertanto, i limiti di una scoperta sono parte integrante di una valutazione professionalmente valida.

Esempio pratico: sospetto di copia dei dati prima della cessazione del rapporto di lavoro.

Un dipendente di un'azienda è sospettato di aver copiato documenti riservati poco prima di lasciare l'azienda.

Un'indagine forense informatica può innanzitutto determinare quali dispositivi di archiviazione esterni erano collegati durante il periodo in questione.

Successivamente, è possibile esaminare gli accessi ai file, i documenti utilizzati di recente, i timestamp, le applicazioni cloud e altri elementi.

Ad esempio, se viene rilevato un supporto di memorizzazione esterno entro il periodo di tempo rilevante e sono presenti anche tracce di file e di utilizzo corrispondenti, ciò può comportare una connessione tecnica significativamente più solida rispetto a una singola voce USB.

Esempio pratico: file eliminati

Mancano dei file importanti dal computer. Per prima cosa, è necessario determinare il tipo di dispositivo di archiviazione utilizzato e se si tratta, ad esempio, di un HDD o di un SSD.

Successivamente, è possibile esaminare le strutture del file system, i dati del cestino e altri artefatti.

Il risultato potrebbe essere il recupero dei file, una prova indiretta della loro precedente esistenza, oppure la constatazione che non rimangono dati utilizzabili.

Esempio pratico: accesso non autorizzato

Un'azienda sospetta che una persona sconosciuta abbia avuto accesso a un computer.

L'indagine può confrontare le credenziali di accesso, i registri degli eventi, l'attività dell'utente, i programmi e altre tracce tecniche.

Un singolo accesso insolito è inizialmente solo un'anomalia. Solo l'analisi di ulteriori eventi di sistema può rivelare se ciò conduce a un percorso di attacco tecnicamente plausibile.

Esempio pratico: documento manipolato

Esiste una controversia sulla data effettiva di creazione o modifica di un documento.

Un'indagine non dovrebbe limitarsi a esaminare la data e l'ora di creazione del file.

Inoltre, è possibile valutare i metadati interni dei documenti, le informazioni sul file system, le copie di backup, i file utilizzati di recente e altri artefatti corrispondenti.

Solo confrontando diverse fonti di dati è possibile effettuare una valutazione più affidabile.

Domande frequenti sulla computer forensics

Cos'è la computer forensics spiegata in modo semplice?

La computer forensics è la raccolta e l'esame metodico delle tracce digitali presenti sui computer. L'obiettivo è ricostruire i processi tecnici nel modo più trasparente possibile e valutare professionalmente i dati rilevanti.

La computer forensics e l'IT forensics sono la stessa cosa?

La computer forensics è un sottocampo fondamentale della IT forensics . La IT forensics può includere, ad esempio, smartphone, server, sistemi cloud e altre fonti di dati digitali.

Quali computer possono essere esaminati?

Tra le altre cose, è possibile sottoporre ad analisi forensi PC Windows, notebook, workstation e Mac. Il metodo specifico dipende dall'hardware, dal sistema operativo, dalla tecnologia di archiviazione e dalla crittografia.

Quali dati si possono esaminare su un PC?

A seconda del sistema, è possibile esaminare file, dati cancellati, informazioni del browser, attività dell'utente, registri di sistema, tracce USB, programmi, e-mail e numerosi altri elementi.

È possibile recuperare i file cancellati?

Sì, a determinate condizioni. Le possibilità dipendono in particolare dal supporto di memorizzazione, dal file system, dalla sovrascrittura e, nel caso degli SSD, da funzioni come TRIM.

È possibile recuperare i dati da un'unità SSD?

In parte. Con le unità SSD, le funzioni TRIM e la pulizia della memoria interna possono complicare notevolmente o impedire il recupero dei dati cancellati.

È possibile stabilire quando un file è stato eliminato?

In determinate circostanze, il file system o altri artefatti di sistema possono fornire indizi sull'ora di eliminazione. Tuttavia, non è sempre possibile determinare l'ora esatta.

È possibile determinare quando un file è stato aperto?

A seconda del sistema operativo e degli artefatti presenti, potrebbero esserci indicazioni sull'utilizzo dei file. Tuttavia, di solito non esiste una cronologia completa delle aperture per ogni file.

È possibile determinare quando un file è stato copiato?

Talvolta, un'operazione di copia può essere ricostruita utilizzando diverse tracce tecniche. Tuttavia, Windows non mantiene automaticamente un registro completo di tutte le copie di file.

È possibile rintracciare una chiavetta USB?

Sì. Windows può memorizzare diverse informazioni sui dispositivi USB collegati, che, in determinate condizioni, possono consentirne l'identificazione.

È possibile determinare quali file sono stati copiati su una chiavetta USB?

In condizioni adeguate, più artefatti possono supportare un'operazione di copia. Tuttavia, non esiste una cronologia di copia automatica completa.

È possibile rilevare i dischi rigidi esterni?

Sì. Anche gli hard disk esterni e le unità SSD possono lasciare tracce del dispositivo e dell'utilizzo nel sistema operativo.

È possibile ricostruire l'attività del browser?

A seconda del browser, potrebbero essere presenti cronologia, download, cookie, cache e altre informazioni.

È possibile recuperare i dati del browser cancellati?

In determinate circostanze, potrebbero essere ancora presenti residui del database, contenuti della cache o altre tracce. Un recupero completo non è garantito.

È possibile rilevare l'utilizzo della modalità di navigazione in incognito?

Le modalità di navigazione privata riducono la quantità di log locali generati dal browser. Tuttavia, altri componenti di sistema o dell'infrastruttura possono comunque generare tracce. La rilevabilità di un evento specifico dipende dai dati disponibili.

È possibile rilevare i programmi installati?

Sì. I sistemi operativi memorizzano diverse informazioni relative al software installato.

È possibile rilevare i programmi disinstallati?

In determinate condizioni, le directory dei programmi, le voci di registro, i file di log o altri elementi residui potrebbero essere ancora presenti dopo la disinstallazione.

È possibile tracciare gli accessi a Windows?

A seconda dei registri disponibili, è possibile valutare gli eventi di accesso e altre informazioni di sistema.

È possibile stabilire chi ha utilizzato il computer?

Le tracce digitali possono essere associate a un account utente o a una sessione. Tuttavia, per collegarle in modo definitivo a un individuo specifico potrebbero essere necessarie ulteriori informazioni.

È possibile dimostrare una violazione dei dati?

In condizioni adeguate, unità USB, archiviazione cloud, e-mail, file e altre tracce possono consentire di ricostruire una potenziale violazione dei dati. La conclusione specifica dipende dai dati disponibili.

La computer forensics è in grado di rilevare i malware?

Sì. È possibile esaminare file, modifiche di sistema, programmi di avvio, processi, tracce di rete e altri indicatori.

È possibile dimostrare un attacco informatico?

A seconda dei dati di sistema e di registro disponibili, è possibile ricostruire le prove di un accesso non autorizzato e la sua sequenza. Tuttavia, non tutti gli attacchi lasciano tracce uguali o durature.

Un computer sospetto va spento?

Non si tratta di un'affermazione generalizzata. Nel caso di sistemi crittografati in funzione o di incidenti di sicurezza, i dati volatili possono essere cruciali. La misura appropriata dipende dalla situazione specifica.

È opportuno accendere un computer spento a scopo di test?

In presenza di potenziali prove, è consigliabile evitare un avvio normale del sistema, se possibile, fino a quando non si individua un metodo di backup adeguato, poiché il processo di avvio può alterare i dati esistenti.

Che cos'è una copia forense?

Un backup forense prevede la raccolta controllata e documentata di un insieme definito di dati. Con supporti di memorizzazione adeguati, ciò può includere una rappresentazione settore per settore dell'archivio.

Che cos'è un blocco di scrittura?

In scenari di backup appropriati, un blocco di scrittura impedisce al sistema di indagine di scrivere sul supporto dati di origine.

Perché si utilizzano i valori hash?

I valori hash consentono di verificare se uno specifico set di dati digitali è stato modificato da quando è stato calcolato.

Un valore hash è una prova della completezza di un backup?

No. Un valore hash può supportare l'integrità del dataset effettivamente sottoposto ad hashing, ma non dimostra automaticamente che tutti i dati possibili siano stati acquisiti durante l'acquisizione.

Che cos'è un'analisi cronologica?

Ciò implica la combinazione di informazioni temporali provenienti da diverse fonti di dati per ricostruire un processo tecnico.

Qual è la differenza tra informatica forense e recupero dati?

Il recupero dati si concentra sul recupero dei dati. La computer forensics, inoltre, indaga sull'origine, l'integrità, le relazioni temporali e il significato delle tracce digitali.

È possibile sottoporre un Mac ad analisi forense?

Sì. I sistemi macOS possono essere sottoposti ad analisi forense. Tuttavia, l'hardware Apple, APFS e FileVault richiedono una procedura specifica per il sistema in questione.

È possibile esaminare un PC Windows crittografato con BitLocker?

In linea di principio, anche un sistema crittografato può essere oggetto di indagine. I dati effettivamente accessibili dipendono, tra le altre cose, dallo stato del sistema e dai metodi di decrittazione disponibili.

Quanto tempo richiede un'analisi forense informatica?

Ciò dipende dalla quantità di dati, dal numero di dispositivi, dalla capacità di archiviazione, dalla crittografia e dalla specifica questione oggetto di indagine. La creazione di un backup e la successiva analisi professionale sono fasi distinte.

È possibile utilizzare le analisi forensi informatiche in tribunale?

I risultati delle analisi forensi digitali possono essere rilevanti nei procedimenti legali. Il loro specifico valore probatorio dipende, tra l'altro, dalla fonte dei dati, dal metodo di conservazione, dalla documentazione e dalla relativa valutazione giuridica.

Quali sono i limiti della computer forensics?

Le limitazioni derivano, tra le altre cose, dalla sovrascrittura, dalla crittografia, dalla mancanza di protocolli, dalla pulizia della memoria SSD e dal limitato potere esplicativo dei singoli artefatti.

La computer forensics ricostruisce le connessioni anziché limitarsi a cercare i file.

La forza della computer forensics non risiede nell'elencare il maggior numero possibile di file. Ciò che è cruciale è la ricostruzione di connessioni tecnicamente verificabili.

Una singola voce USB può indicare che un supporto di memorizzazione è stato collegato a un computer. Solo ulteriori tracce possono potenzialmente fornire indizi sull'eventuale apertura o copia di file rilevanti nello stesso periodo. Una data/ora può indicare un momento preciso. Solo un confronto con altre tracce di sistema rivela quanto sia affidabile la sua interpretazione.

Lo stesso vale per i file eliminati, l'attività del browser, gli accessi degli utenti o i potenziali attacchi. Un singolo dato tecnico non dovrebbe essere interpretato in modo più ampio di quanto consentito dalla sua fonte.

La computer forensics professionale combina quindi il backup forense dei dati , l'analisi del sistema operativo e del file system, la correlazione temporale e la valutazione di esperti. Documenta non solo ciò che è stato trovato, ma anche come è stato ottenuto il risultato, su quale fonte di dati si basa e quali spiegazioni alternative devono essere prese in considerazione.

Ciò consente di creare una ricostruzione comprensibile a partire da una grande quantità di informazioni tecniche individuali, senza pretendere più di quanto effettivamente dimostrato dalle tracce digitali.

Torna alla panoramica delle conoscenze