I computer memorizzano molte più informazioni di quanto non sembri a prima vista. Sistemi operativi, file system, applicazioni, browser, account utente, dispositivi di archiviazione esterni e registri di sistema possono lasciare tracce digitali che consentono di ricostruire tecnicamente i processi, a volte anche molto tempo dopo che un evento si è verificato.

I servizi di informatica forense di LB Forensik si concentrano sulla messa in sicurezza, l'analisi e la valutazione professionale di queste tracce digitali su PC Windows, notebook, sistemi Apple Mac, dischi rigidi, SSD e altri supporti di memorizzazione.

A seconda della domanda, è possibile, ad esempio, indagare su quali file erano presenti o eliminati, quando si sono verificate determinate attività dell'utente, quali dispositivi di archiviazione esterni sono stati collegati, quali attività su Internet possono essere tracciate o se vi sono indicazioni tecniche di malware, manipolazione o accesso non autorizzato.

Il fattore decisivo non è la maggiore quantità possibile di dati estratti. L'obiettivo di un'indagine forense è fornire una risposta tecnicamente verificabile alla specifica questione probatoria.

Nell'articolo "Integrità delle prove digitali" approfondiamo i requisiti fondamentali per le prove digitali . Nelle indagini che coinvolgono anche smartphone o tablet, l'analisi informatica può essere combinata con la nostra analisi forense mobile .

Che cos'è la computer forensics?

La computer forensics è una branca della digital forensics. Si occupa della messa in sicurezza, dell'esame, della ricostruzione e della valutazione strutturata delle tracce digitali presenti sui computer e sui relativi sistemi di archiviazione.

Gli oggetti dell'indagine possono includere, tra le altre cose, PC desktop, notebook, MacBook, dischi rigidi, SSD, dispositivi di archiviazione USB, schede di memoria, unità esterne o dati selezionati di server e reti.

Un'indagine professionale inizia con una domanda ben definita:

Quali tracce digitali possono tecnicamente confermare, confutare o ricostruire uno specifico processo nel tempo?

Solo a quel punto si determina quali sistemi devono essere messi in sicurezza e quali reperti forensi devono essere esaminati.

A quali domande può rispondere la computer forensics?

A seconda dei dati disponibili e della portata dell'indagine, è possibile esaminare, tra le altre cose, i seguenti aspetti:

• quali file erano presenti sul computer,
• quando i file venivano creati, modificati o eliminati,
• se i dati cancellati possono ancora essere recuperati,
• quali account utente sono stati utilizzati,
• quali programmi sono stati eseguiti o installati,
• quali dispositivi di archiviazione esterni sono stati collegati
• quali attività su Internet e tramite browser possono essere tracciate,
• se vi sono indicazioni di accesso non autorizzato,
• se esistono tracce tecniche di malware,
• se i file potrebbero essere stati copiati o trasferiti su dispositivi di archiviazione esterni,
• se le manipolazioni o le azioni di cancellazione sono tracciabili,
• quali eventi sono correlati nel tempo.

Non è possibile rispondere a tutte le domande basandosi su un singolo elemento. Spesso, un quadro tecnico complessivo affidabile emerge solo attraverso la correlazione di diverse fonti di dati indipendenti.

Conservazione forense di un computer

Un'analisi computerizzata dovrebbe fondamentalmente distinguere tra la messa in sicurezza del sistema originale e l'analisi successiva.

Nei casi appropriati, viene innanzitutto creato un backup forense dei supporti o dei set di dati rilevanti. L'analisi successiva viene quindi eseguita, se possibile, sul backup o su una copia di lavoro designata.

Lo scopo è quello di impedire che il sistema originale venga alterato da fasi di indagine non necessarie.

La scelta del metodo di backup più adatto dipende dallo stato del sistema, dalla crittografia, dal tipo di supporto dati e dalla specifica questione probatoria.

Analisi forense del disco rigido

I dischi rigidi tradizionali possono contenere una grande quantità di informazioni forensi.

Oltre ai file attualmente visibili, a seconda del file system e dell'utilizzo successivo, potrebbero essere presenti anche file eliminati, strutture del file system, metadati e altri artefatti digitali.

Un'analisi del disco rigido può quindi andare ben oltre la semplice apertura di cartelle e file visibili.

Analisi forense delle unità SSD

L'analisi delle moderne unità SSD si differenzia per aspetti importanti da quella dei classici dischi rigidi magnetici.

Tecnologie come il livellamento dell'usura, la raccolta dei dati inutili e TRIM influenzano il modo in cui i dati vengono archiviati internamente e gestiti dopo i processi di cancellazione.

La diffusa convinzione che i file cancellati possano essere recuperati da un'unità SSD nello stesso modo in cui vengono recuperati da un disco rigido tradizionale è pertanto tecnicamente inaffidabile.

Anche se il contenuto dei file non può più essere ricostruito, altri elementi possono fornire la prova dell'esistenza di file, applicazioni o determinate attività.

Analisi forense del file system

I file system organizzano file, directory e metadati associati.

A seconda del sistema operativo e del supporto di memorizzazione, possono essere rilevanti diversi file system.

L'analisi può fornire informazioni su file, strutture di directory, timestamp e altri artefatti del file system.

Occorre tenere presente che i diversi timestamp hanno significati tecnici differenti e possono essere modificati da vari processi di sistema.

Analisi forense di Windows

I sistemi Windows generano numerosi artefatti digitali durante il loro utilizzo.

A seconda della domanda, le informazioni rilevanti possono includere profili utente, dati del registro di sistema, registri eventi, informazioni sul file system, collegamenti, artefatti di esecuzione dei programmi, dati del browser e informazioni sui dispositivi connessi.

Combinando diverse di queste fonti, è possibile ricostruire cronologicamente alcune attività degli utenti e del sistema.

Analisi forense su Mac e macOS

I sistemi Apple contengono inoltre numerose fonti di dati rilevanti ai fini forensi.

Quando si esaminano Mac, MacBook e macOS, occorre prestare particolare attenzione al file system utilizzato, ai meccanismi di sicurezza, agli account utente e a qualsiasi possibile crittografia delle unità.

I moderni sistemi Apple differiscono notevolmente dai classici PC Windows per quanto riguarda le specifiche tecniche. Pertanto, la strategia di backup deve essere adattata all'hardware e alla generazione del sistema operativo di riferimento.

Analisi forense di Linux

I sistemi Linux possono essere particolarmente utili per server, ambienti di sviluppo e luoghi di lavoro tecnici.

A seconda della distribuzione e della configurazione, è possibile esaminare i log di sistema, le informazioni utente, la cronologia della shell, gli artefatti del file system, i file di configurazione e altri dati tecnici.

La presenza di determinate tracce dipende in larga misura dalla specifica configurazione del sistema.

Analisi forense della RAM e dati volatili

Non tutte le informazioni rilevanti vengono memorizzate in modo permanente su un disco rigido o un'unità SSD.

Un computer in funzione può contenere informazioni volatili nella sua memoria.

A seconda dello stato del sistema e dell'obiettivo dell'indagine, il backup della memoria di lavoro potrebbe quindi risultare rilevante.

I dati della RAM possono contenere informazioni sui processi in esecuzione, sulle connessioni di rete o su altri stati di sistema attivi al momento del backup.

Queste informazioni vengono sempre perse quando il sistema viene spento.

Analisi forensi in tempo reale o sistema spento?

La decisione se spegnere un computer in funzione o esaminarlo e metterlo in sicurezza mentre è acceso può avere implicazioni significative per le prove.

Un sistema in esecuzione può contenere informazioni volatili. Allo stesso tempo, ogni interazione con un computer in esecuzione ne modifica lo stato.

Nei sistemi crittografati, può anche essere rilevante sapere se un supporto dati è già montato in uno stato decrittografato al momento opportuno.

Pertanto, non esiste un'unica raccomandazione corretta valida per ogni caso.

In caso di un incidente specifico che coinvolga prove o problematiche di sicurezza, è consigliabile chiarire, se possibile prima di intraprendere qualsiasi ulteriore azione, quale strategia di sicurezza sia tecnicamente appropriata.

Analisi forense dei file cancellati

Eliminare un file non significa automaticamente che tutte le informazioni in esso contenute vengano immediatamente cancellate da ogni sistema di archiviazione.

A seconda del file system, del supporto di memorizzazione, del metodo di cancellazione e dell'utilizzo successivo, potrebbero essere ancora presenti dati o residui di file.

Tuttavia, con le unità SSD, TRIM e i meccanismi interni di pulizia della memoria possono limitare significativamente il recupero dei dati.

Pertanto, il recupero dei dati cancellati non può mai essere garantito in generale.

Le tracce possono rimanere anche senza restauro.

Ai fini di un'indagine forense, non è fondamentale solo accertare se sia possibile recuperare l'intero contenuto di un file cancellato.

Altri artefatti di sistema possono fornire indizi su file o attività precedenti.

Ciò può rendere rilevante, ad esempio, la possibilità di rintracciare un determinato nome di file, percorso di archiviazione o processo di utilizzo in altre strutture dati.

Esaminare file e documenti

Oltre al contenuto visibile, i documenti possono contenere informazioni tecniche aggiuntive.

A seconda del formato del file, possono essere presenti metadati, informazioni temporali, informazioni sull'autore o altre proprietà.

Questi dati possono essere rilevanti per domande relative alla creazione, alla modifica o all'origine di un documento.

Tuttavia, i metadati devono essere valutati in un contesto tecnico, poiché possono essere modificati in modo sostanziale.

Analisi forense delle unità USB e dispositivi di archiviazione esterni

Nei casi di sospetta fuga di dati o di copia non autorizzata di dati, la questione cruciale è spesso se siano stati utilizzati supporti di archiviazione esterni.

I computer possono lasciare tracce dei dispositivi USB collegati.

A seconda del sistema operativo e della disponibilità dei dati, potrebbero essere presenti informazioni su dispositivi specifici o sul loro utilizzo.

Queste informazioni possono essere correlate con informazioni relative a file, utenti e tempistiche.

È possibile dimostrare quali file sono stati copiati su una chiavetta USB?

Questa questione deve essere esaminata caso per caso.

Il fatto che sia stato collegato un determinato dispositivo di archiviazione USB non dimostra automaticamente quali file siano stati copiati su di esso.

Pertanto, per ricostruire tecnicamente un'eventuale fuga di dati, è necessario confrontare tra loro diversi artefatti.

Questa distinzione è particolarmente importante in materia di diritto del lavoro o di reati finanziari.

Analisi forense del browser e attività su Internet

I browser web possono generare numerose tracce digitali.

A seconda del browser, potrebbero essere rilevanti il ​​profilo utente e lo stato dei dati, ad esempio cronologia, download, cookie, dati della cache, informazioni di sessione salvate o altri elementi del browser.

Ciò consente di disporre determinate attività su Internet in ordine cronologico, se necessario.

Anche in questo caso, vale quanto segue: un singolo elemento del browser non dovrebbe essere automaticamente equiparato a una specifica persona fisica.

Scaricare e caricare attività

In alcune indagini, è rilevante stabilire se i file siano stati scaricati da internet o trasferiti tramite servizi online.

I dati del browser, gli artefatti del file system, le informazioni sulle applicazioni e possibilmente altri registri possono fornire indizi.

La possibilità di dimostrare in modo affidabile un caricamento o un download specifico dipende dalle prove tecniche disponibili.

Analisi forense delle email sui computer

La comunicazione via e-mail può veicolare informazioni rilevanti a diversi livelli.

Oltre ai messaggi visibili, è possibile esaminare i database di posta locali, gli allegati, le informazioni di intestazione, i dati della cache e altri elementi.

Nei casi complessi, l'analisi locale del computer può essere combinata con l'esame dell'account di posta elettronica pertinente o di altre fonti di dati disponibili.

Tracce di nuvole su un computer

Anche quando i file vengono archiviati in un servizio cloud, è comunque possibile che rimangano tracce locali sul computer.

Programmi di sincronizzazione, directory locali, dati della cache, configurazioni e altri artefatti possono fornire indizi sull'utilizzo di un servizio cloud.

Tuttavia, gli artefatti informatici locali e i dati effettivamente conservati dal fornitore di servizi cloud costituiscono fonti di prova diverse e devono essere valutati separatamente.

Scansione per malware e software dannosi

Se si sospetta che un computer sia stato compromesso, è possibile verificare la presenza di eventuali indicazioni tecniche di malware o altre modifiche indesiderate.

Ciò consente di esaminare file, processi, meccanismi di avvio automatico, configurazioni di sistema, registri eventi e altri artefatti.

Un'analisi professionale non si limita a constatare che uno scanner antivirus ha rilevato un file specifico.

Ciò che è cruciale è piuttosto quali tracce tecnicamente verificabili siano presenti e quali conclusioni se ne possano trarre.

Computer violato: è possibile dimostrare l'attacco?

La possibilità di dimostrare un precedente accesso non autorizzato dipende dalle tracce ancora presenti.

Le informazioni rilevanti possono essere reperite nei registri di sistema, negli account utente, nelle applicazioni, nei dati del browser, nelle tracce di rete o in altri artefatti.

Tuttavia, l'assenza di un artefatto rilevabile non dimostra automaticamente che non si sia mai verificato un attacco.

Allo stesso modo, una singola anomalia tecnica non dimostra automaticamente la riuscita di un compromesso.

Attacchi ransomware e di crittografia

In seguito a un attacco ransomware possono sorgere diverse questioni forensi.

Ciò include, ad esempio, il possibile percorso iniziale dell'attacco, gli account utente interessati, i programmi eseguiti, le tempistiche e i sistemi coinvolti.

Nel caso di incidenti aziendali, tale indagine può essere parte di un'analisi più completa della risposta all'incidente.

Indagare su presunte manipolazioni

Nelle controversie, può sorgere la questione se file, documenti o altre informazioni digitali siano stati successivamente alterati.

La computer forensics può esaminare i metadati esistenti, le informazioni del file system e altri artefatti tecnici, verificando la presenza di incongruenze.

Tuttavia, un'anomalia tecnica non costituisce automaticamente prova di manipolazione deliberata.

Viceversa, l'assenza di un'anomalia non dimostra che un file non sia mai stato modificato.

Ricostruzione dell'attività dell'utente

I moderni sistemi operativi generano numerosi artefatti durante il loro utilizzo.

Correlazionando diverse fonti, potrebbe essere possibile ricostruire quali attività si sono svolte su un sistema in momenti specifici.

Occorre distinguere tra l'attività di un account utente e l'identità di una persona fisica.

Il fatto che un determinato account utente fosse attivo non dimostra automaticamente chi fosse effettivamente seduto davanti al computer.

Analisi della cronologia: ricostruzione degli eventi in ordine cronologico.

Uno dei metodi più efficaci nell'informatica forense è la correlazione temporale di diverse tracce digitali.

Ciò consente, ad esempio, di collocare eventi del file system, registri di sistema, esecuzioni di programmi, attività del browser, connessioni USB e altri artefatti in un contesto temporale comune.

Una cronologia di questo tipo può aiutare a ricostruire processi complessi passo dopo passo.

I timestamp devono essere interpretati correttamente da un punto di vista tecnico. Sistemi diversi possono utilizzare fusi orari, formati orari e significati dei valori temporali differenti.

Esaminare insieme computer e smartphone

Oggigiorno, le questioni digitali raramente si limitano a un singolo dispositivo.

Un documento può essere stato creato su un computer, sincronizzato tramite un servizio cloud, aperto su uno smartphone e poi inviato tramite un'applicazione di messaggistica.

Nei casi complessi, pertanto, l'esame congiunto di diversi dispositivi può risultare considerevolmente più informativo.

LB Forensics è in grado di combinare l'analisi forense informatica e quella mobile all'interno di un'unica strategia investigativa.

Computer e dispositivi di archiviazione dati crittografati

I computer moderni utilizzano sempre più spesso la crittografia di unità e file.

Ad esempio, BitLocker può essere utile per i sistemi Windows e FileVault per i sistemi Apple.

La possibilità e le modalità di accesso ai dati crittografati dipendono dallo stato del sistema, dalla configurazione e dalle informazioni di accesso disponibili.

Pertanto, nella pianificazione della conservazione delle prove, è necessario tenere conto dei sistemi di crittografia esistenti.

Backup forense anziché semplice copia dei file.

Copiare i file visibili su una chiavetta USB non equivale a un backup forense completo.

Una procedura di backup professionale documenta quale sistema o supporto dati è stato utilizzato, quale metodo è stato impiegato e quale set di dati è stato sottoposto a backup.

A seconda del caso in esame, i valori hash crittografici possono essere utilizzati per documentare in modo tracciabile l'integrità di specifici insiemi di dati.

Un valore hash non dimostra automaticamente la veridicità o la paternità del contenuto di un file. Consente principalmente di confrontare se un determinato insieme di dati è cambiato rispetto a uno stato di riferimento documentato.

Blocco della scrittura e protezione del supporto dati originale

Le analisi appropriate dei supporti dati possono impiegare metodi hardware o software progettati per prevenire o ridurre al minimo l'accesso in scrittura involontario al supporto originale.

Il metodo più adatto dipende dallo specifico supporto dati e dalla strategia di backup.

L'obiettivo è preservare lo stato originale delle prove per quanto tecnicamente possibile e documentare le modifiche in modo tracciabile.

Catena di custodia e catena delle prove

Nelle indagini di rilevanza legale, il risultato dell'analisi non è l'unico fattore importante.

Altrettanto cruciale può essere la capacità di tracciare quale dispositivo è stato esaminato, quando è stato acquisito, come è stato messo in sicurezza e su quale insieme di dati si basa l'analisi successiva.

Questa catena di prove documentata viene spesso definita "catena di custodia".

Relazione forense e parere di un esperto

Un'analisi tecnica completa è utile solo se i risultati vengono presentati in modo comprensibile.

A seconda dell'incarico, i risultati rilevanti possono quindi essere documentati in una relazione investigativa o in un'analisi peritale.

Una buona documentazione forense distingue tra:

• fatti tecnici accertati,
• metodi di esame utilizzati,
• conclusioni tecniche,
• restrizioni esistenti e
• Domande a cui non è possibile rispondere in base ai dati disponibili.

Ulteriori informazioni sono disponibili presso il nostro ufficio specializzato in informatica forense e sicurezza dei dispositivi mobili.

Cosa bisogna evitare prima di un'indagine forense informatica?

In un potenziale caso probatorio, azioni avventate potrebbero alterare le prove esistenti.

• Non eliminare o spostare i file prematuramente.
• Non utilizzare alcun programma di pulizia.
• Non ripristinare il computer alle impostazioni di fabbrica.
• Non eseguire una nuova installazione del sistema operativo.
• Non formattare un'unità SSD o un disco rigido.
• Non installare aggiornamenti non necessari.
• Non eseguire alcuna operazione antivirus o di riparazione senza previa valutazione.
• Evitate di collegare dispositivi di archiviazione esterni inutilmente.
• Non eliminare i file di registro o i profili utente.

Un sistema in esecuzione non dovrebbe essere arrestato automaticamente. I dati volatili o lo stato della crittografia possono essere rilevanti per la strategia di backup.

Analisi forense informatica per le aziende

Nelle aziende, la computer forensics può essere particolarmente rilevante in caso di sospetta fuga di dati, accesso non autorizzato, malware, manipolazione interna, violazioni delle normative o altri incidenti di sicurezza.

Le possibilità tecniche e i quadri giuridici devono essere considerati congiuntamente.

Pertanto, un'indagine dovrebbe essere incentrata su una questione specifica e su un ambito di indagine chiaramente definito.

Analisi forense informatica nei casi di controversie tra dipendenti

Nel corso di indagini interne, i computer delle postazioni di lavoro possono contenere importanti tracce digitali.

Le possibili domande riguardano, ad esempio, copie di dati, supporti di memorizzazione esterni, attività sui file o altri processi tecnici.

Un'indagine forense non sostituisce la verifica dell'ammissibilità di un provvedimento ai sensi del diritto del lavoro o della normativa sulla protezione dei dati.

Informatica forense per avvocati e tribunali

I dati digitali possono svolgere un ruolo cruciale nei procedimenti civili, penali, del lavoro o economici.

LB Forensik fornisce supporto nella messa in sicurezza tecnica, nell'analisi e nella valutazione delle prove digitali.

Si distingue tra fatti tecnicamente verificabili e valutazioni giuridiche più approfondite.

Informatica forense per privati

Anche i privati ​​cittadini possono richiedere un'analisi forense di computer e dispositivi di archiviazione dati.

Le domande tipiche includono, ad esempio, il sospetto di accesso non autorizzato, la perdita di dati, la sospetta manipolazione, la presenza di malware, la cancellazione di dati o la necessità di proteggere le prove digitali per procedimenti legali.

Analisi forensi informatiche a livello nazionale in Germania

LB Forensik supporta aziende, avvocati, autorità e privati ​​cittadini in tutto il paese nella messa in sicurezza e nell'analisi dei sistemi digitali.

A seconda delle circostanze, la messa in sicurezza o l'indagine possono avvenire sul posto o in condizioni investigative controllate.

Informazioni regionali sono reperibili, ad esempio, nelle sezioni "Informatica forense" per Stoccarda , "Informatica forense" per Düsseldorf e "Informatica forense per Hannover".

Limiti della computer forensics

L'analisi forense informatica professionale può rivelare numerose tracce digitali. Tuttavia, non può rispondere a tutte le domande.

• I dati cancellati non sono sempre recuperabili.
• I dati sovrascritti potrebbero andare persi in modo permanente.
• TRIM e i processi interni all'SSD possono limitare il ripristino.
• La crittografia può impedire o ostacolare l'accesso ai dati.
• Non tutte le attività degli utenti lasciano una traccia digitale chiara.
• Un account utente non è automaticamente sinonimo di una specifica persona fisica.
• Un timestamp deve essere interpretato tecnicamente.
• L'assenza di un manufatto non dimostra automaticamente che un evento non abbia mai avuto luogo.

Un'indagine condotta in modo professionalmente rigoroso non si limita quindi a identificare le tracce rinvenute, ma anche a definirne i limiti di rilevanza.

Domande frequenti sulla computer forensics

Che cos'è la computer forensics?

La computer forensics è la raccolta, l'analisi e la valutazione strutturata di tracce digitali su computer e supporti di memorizzazione. L'obiettivo è la ricostruzione tecnica di eventi specifici sulla base dei dati disponibili.

Quali computer possono essere sottoposti ad analisi forense?

A seconda del sistema e della domanda posta, è possibile esaminare PC Windows, notebook, sistemi Apple Mac, nonché i relativi dischi rigidi, SSD e supporti di archiviazione esterni.

È possibile determinare quali file sono stati eliminati?

Ciò può accadere a seconda del file system, del supporto di memorizzazione e dell'utilizzo successivo. Anche se il contenuto dei file non può essere recuperato, altri artefatti potrebbero comunque indicare l'esistenza di file precedenti.

È possibile recuperare i file cancellati?

Parzialmente. Le probabilità di successo dipendono in larga misura dal supporto di memorizzazione, dal file system, dal processo di eliminazione e dall'utilizzo successivo. Con le unità SSD, in particolare, le operazioni TRIM e la pulizia della memoria interna possono limitare il recupero.

È possibile stabilire quando un file è stato eliminato?

In determinate condizioni, vari artefatti possono fornire indizi su un processo di cancellazione o sulla sua relazione temporale. Tuttavia, non è sempre possibile determinare con precisione il momento della cancellazione.

È possibile scoprire chi ha cancellato un file?

Le tracce digitali possono collegare le attività a un sistema o a un account utente. Tuttavia, ciò non rivela automaticamente quale persona fisica abbia effettivamente compiuto l'azione.

È possibile stabilire se è stata collegata una chiavetta USB?

A seconda del sistema operativo e dello stato dei dati, potrebbero essere presenti tracce dei dispositivi USB collegati.

È possibile determinare quali file sono stati copiati su una chiavetta USB?

Ciò deve essere verificato utilizzando più fonti di dati. La semplice presenza di un dispositivo USB collegato non dimostra automaticamente che sia effettivamente avvenuto un processo di copia.

È possibile esaminare un computer hackerato?

Sì. In caso di sospetto accesso non autorizzato, è possibile analizzare le tracce di sistema, file, utente, browser, applicazione e, se del caso, di rete.

È possibile determinare quando un hacker ha ottenuto l'accesso?

Se sono disponibili registri e altri reperti adeguati, potrebbe essere possibile restringere il periodo di tempo in cui l'accesso è stato potenzialmente possibile. Tuttavia, una ricostruzione completa non è sempre fattibile.

È possibile rilevare un malware?

Se gli artefatti corrispondenti sono ancora presenti, potrebbero indicare la presenza di malware, programmi sospetti o modifiche insolite al sistema.

È possibile determinare quali siti web sono stati visitati?

I profili del browser possono contenere cronologia, cache, download e altri elementi, a seconda dello stato dei dati. Tuttavia, la modalità di navigazione privata, le eliminazioni e altri fattori possono influenzare la situazione dei dati.

È possibile recuperare i dati del browser cancellati?

A seconda del browser, del file system e dello stato di archiviazione, ciò potrebbe essere parzialmente possibile. Un recupero completo non può essere garantito.

È possibile indagare sulle email?

Sì. I dati delle email archiviati localmente, gli allegati e altre informazioni tecniche possono essere analizzati, a seconda del sistema utilizzato.

È possibile monitorare l'attività sul cloud tramite computer?

La sincronizzazione locale e gli artefatti delle applicazioni possono fornire indizi sull'utilizzo di determinati servizi cloud. Per una valutazione completa potrebbero essere necessari dati cloud aggiuntivi.

È possibile stabilire se i file sono stati manipolati?

Un'indagine può esaminare anomalie tecniche, metadati e incongruenze. Tuttavia, non ogni modifica può essere identificata in modo definitivo o attribuita a una persona specifica.

È possibile esaminare un computer spento?

Sì. I dati non volatili presenti sui supporti di memorizzazione esistenti possono essere sottoposti a backup e analizzati, a seconda della crittografia, delle condizioni e dell'accessibilità tecnica.

Un computer sospetto deve essere spento?

Non automaticamente. Con un sistema in esecuzione, i dati volatili della RAM o un supporto dati precedentemente decrittografato possono essere rilevanti. Pertanto, se possibile, è opportuno definire una strategia di backup adeguata prima di qualsiasi intervento.

Che cos'è la RAM forensics?

L'analisi forense della RAM esamina i dati presenti nella memoria volatile di un sistema in esecuzione. Questi dati possono includere informazioni sui processi attivi e su altri stati attuali del sistema.

È possibile esaminare un disco rigido crittografato?

Ciò dipende dal metodo di crittografia, dallo stato del sistema e dalle informazioni di accesso esistenti. La crittografia esistente dovrebbe essere presa in considerazione il prima possibile nella pianificazione del backup.

Che cos'è un'immagine forense?

Un'immagine forense è una copia di backup di un supporto dati o di un insieme di dati, creata utilizzando un metodo definito, che può essere successivamente utilizzata per l'analisi. Il metodo di backup specifico dipende dall'oggetto oggetto dell'indagine.

Che cosa significa "catena di custodia"?

La catena di custodia documenta la sequenza degli eventi probatori. Il suo scopo è quello di rendere tracciabile quale elemento di prova è stato acquisito, come è stato gestito e su quali basi di dati è stata condotta l'indagine.

Quanto tempo richiede un'analisi forense informatica?

La durata dipende principalmente dalla quantità di dati, dal numero di dispositivi, dalla crittografia, dalle domande specifiche poste e dalla profondità di indagine richiesta. Pertanto, una stima affidabile è spesso possibile solo dopo aver conosciuto l'esatta portata dell'indagine.

È possibile esaminare un computer ripristinato o appena installato?

Sì, un'indagine può ancora essere utile. Tuttavia, il ripristino, la reinstallazione e il successivo utilizzo potrebbero sovrascrivere i dati precedenti o renderli altrimenti indisponibili. Le informazioni che è ancora possibile ricavare devono essere esaminate sul sistema specifico.

Uno screenshot è sufficiente come prova digitale?

Uno screenshot può documentare uno stato visibile, ma in genere contiene molte meno informazioni contestuali tecniche rispetto alla fonte di dati originale sottostante. Pertanto, per una valutazione forense più approfondita, la fonte di dati originale dovrebbe essere conservata ogniqualvolta sia possibile.

Cosa devo fare se voglio far analizzare un computer in modo forense?

Evitate modifiche non necessarie al sistema e documentatene lo stato attuale. Nel caso di un sistema in esecuzione o crittografato, determinate la migliore linea d'azione prima di arrestarlo o di effettuare ulteriori interventi.

Richiedi servizi di analisi forense informatica tramite LB Forensics

Qualora un computer, un notebook, un Mac o un dispositivo di archiviazione dati necessiti di essere esaminato in seguito a un incidente di sicurezza, in caso di sospetta manomissione, perdita di dati o in relazione a una controversia legale, si raccomanda di coordinarsi il prima possibile.

Per una valutazione iniziale, sono particolarmente rilevanti il ​​tipo di dispositivo, il sistema operativo, i supporti di memorizzazione dati disponibili, lo stato di crittografia e la domanda specifica.

LB Forensics può quindi determinare quali fonti di dati devono essere protette e quale metodo di indagine è più adatto al quesito probatorio.

L'informatica forense professionale non consiste nel trovare quanti più dati possibile. Il fattore cruciale è quello di acquisire metodicamente le tracce digitali, interpretarle correttamente da un punto di vista tecnico e documentarle in modo tracciabile.