Le prove digitali necessitano di qualità verificabile: come deve funzionare oggi la forensica informatica professionale.

Le prove digitali sono ovunque, ma interpretarle correttamente è una sfida.

Uno smartphone può contenere messaggi, foto, video, contatti, dati delle app, informazioni sull'utilizzo e numerosi altri elementi digitali. Un computer può fornire indizi sull'attività dell'utente, sui supporti di archiviazione collegati, sui file, sui programmi, sull'utilizzo di Internet e sui processi di sistema. Server, reti e ambienti cloud generano ulteriori dati che possono essere rilevanti per la ricostruzione di un incidente.

Il lavoro investigativo moderno è ormai giunto da tempo a una realtà in cui quasi ogni caso complesso può avere una componente digitale.

Un'azienda sospetta la fuga di dati di progettazione riservati. L'account di un dipendente mostra attività insolite. Mancano dei file dopo che un dipendente ha lasciato l'azienda. Uno smartphone potrebbe contenere comunicazioni sensibili. Uno studio legale necessita di una ricostruzione tecnica di determinati processi. Dopo un attacco informatico, è necessario determinare quali sistemi sono stati colpiti e quali tracce possono ancora essere trovate.

In tali situazioni, non è sufficiente estrarre semplicemente quante più informazioni possibili da un dispositivo.

Le domande cruciali sono piuttosto:

• Quali dati sono rilevanti per la situazione specifica?
• Da dove provengono questi dati, tecnicamente parlando?
• Come venivano messi in sicurezza?
• I dati esaminati sono cambiati durante il processo di backup o di analisi?
• Quali relazioni tecniche si possono effettivamente instaurare?
• Quali altre spiegazioni esistono?
• Quali conclusioni si possono trarre da un artefatto digitale?
• Quale affermazione non sarebbe supportata dai dati disponibili?

Questa separazione tra i dati esistenti e la valutazione tecnicamente valida è una caratteristica fondamentale della digital forensics professionale.

L'estrazione dei dati non è ancora considerata analisi forense digitale.

I moderni sistemi forensi sono in grado di elaborare enormi quantità di dati provenienti da computer, smartphone e altri sistemi digitali. I messaggi possono essere categorizzati, i file ricercati, le cronologie create e gli artefatti tecnici visualizzati automaticamente.

Si tratta di un dato prezioso. Tuttavia, non va confuso con un'indagine forense conclusa.

Un'estrazione tecnica risponde innanzitutto alla domanda su quali dati potrebbero essere ottenuti o rappresentati utilizzando un metodo specifico.

Le indagini forensi devono proseguire.

Deve chiarire il significato delle singole informazioni in relazione alla specifica domanda di ricerca.

Ciò è rilevante, ad esempio, quando si determina se:

• I file riservati sono stati copiati o trasferiti,
• un dispositivo di archiviazione esterno è stato collegato a un particolare computer,
• determinate attività dell'utente sono tecnicamente tracciabili,
• I dati di comunicazione rivelano una sequenza cronologica concreta,
• I file sono stati modificati o eliminati
• sono state utilizzate alcune applicazioni
• Sono avvenuti processi di cloud o di sincronizzazione,
• un sistema potrebbe essere stato compromesso o
• Le molteplici tracce digitali appartengono a un evento comune.

Senza una domanda di ricerca chiaramente definita, si rischia di generare semplicemente grandi quantità di dati.

La digital forensics professionale, quindi, non significa estrarre tutto ciò che è tecnicamente accessibile. Significa piuttosto mettere in sicurezza, valutare, classificare e documentare in modo metodico e trasparente le informazioni digitali rilevanti per un caso specifico.

La raccolta delle prove forensi inizia prima dell'analisi vera e propria.

La qualità di un'analisi digitale è spesso determinata dal modo in cui viene trattato l'oggetto originale dell'analisi.

I sistemi digitali sono dinamici. Un sistema operativo in esecuzione modifica i dati. Le applicazioni scrivono informazioni. Gli smartphone comunicano con infrastrutture mobili, Wi-Fi e cloud. I processi in background possono alterare i set di dati. Anche un accesso apparentemente innocuo può generare nuove informazioni di sistema.

Pertanto, la fase di raccolta delle prove è una delle parti più delicate di un'indagine forense.

A seconda dell'oggetto dell'indagine, occorre tenere conto, tra le altre cose, delle seguenti questioni:

• Quale dispositivo o supporto dati è stato acquisito?
• In che condizioni si trovava l'oggetto dell'indagine?
• Quando è stato acquistato?
• Chi l'ha consegnato?
• Quale metodo di sicurezza è tecnicamente adeguato?
• Un sistema in funzione deve essere trattato in modo diverso rispetto a un sistema spento?
• Come si possono proteggere al meglio i dati originali?
• Come vengono create le copie di lavoro?
• Come viene verificata l'integrità dei dati di cui è stato eseguito il backup?
• Come vengono documentate le singole fasi?

Non esiste un metodo universale che funzioni per tutti gli smartphone, computer, server e supporti di archiviazione.

Uno smartphone crittografato ha requisiti diversi rispetto a un disco rigido esterno. Un server acceso richiede considerazioni diverse rispetto a una workstation spenta. Un potenziale incidente informatico potrebbe coinvolgere informazioni volatili che non sarebbero più disponibili dopo un riavvio.

La scienza forense metodica inizia quindi con una valutazione tecnica dello specifico oggetto di indagine.

Valori hash: importanti per i controlli di integrità, ma non una prova automatica

Nell'ambito della digital forensics, i metodi di hashing crittografico vengono spesso utilizzati per caratterizzare matematicamente i set di dati e per poter controllare le modifiche.

In termini semplificati, un valore hash può essere considerato come un valore caratteristico generato computazionalmente per uno specifico insieme di dati.

Se lo stesso set di dati viene elaborato nuovamente utilizzando lo stesso metodo di hashing, un confronto dei valori hash può aiutare a determinare se i dati sottostanti sono cambiati.

I valori hash possono quindi rappresentare una componente importante per la garanzia dell'integrità dei dati.

Tuttavia, non costituiscono una prova inconfutabile.

Ad esempio, un valore hash corrispondente non significa automaticamente:

• che sia stato selezionato l'oggetto di indagine corretto,
• che la raccolta dati originale fosse legalmente consentita,
• che tutte le informazioni rilevanti siano state registrate,
• che una valutazione del software sia stata interpretata correttamente o
• che la conclusione professionale che se ne trae sia corretta.

Gli algoritmi di hashing sono uno strumento all'interno di un processo forense più ampio.

Questa classificazione è particolarmente importante perché la digital forensics professionale non consiste in singole misure tecniche, bensì in una catena tracciabile di messa in sicurezza, analisi, valutazione e documentazione.

Catena di custodia: perché una catena di prove documentata può essere importante

Nelle indagini che coinvolgono dati potenzialmente probatori, la questione non riguarda solo ciò che è stato tecnicamente riscontrato.

Altrettanto rilevante è ciò che è accaduto all'oggetto dell'indagine dalla sua acquisizione.

In questo contesto, si utilizza spesso il termine " catena di custodia" o catena di prove documentata.

A seconda del compito specifico, è possibile documentare quanto segue:

• chi ha consegnato un oggetto di indagine,
• quando è avvenuto il passaggio di consegne,
• come è stato contrassegnato l'oggetto
• che vi aveva accesso,
• quando è stato creato un backup,
• quali metodi di sicurezza e di analisi sono stati utilizzati,
• di cui sono state create copie di lavoro e
• come è stato gestito l'oggetto dell'indagine dopo il suo completamento.

Tale documentazione può aiutare una terza parte qualificata a comprendere in seguito come è stato generato il risultato di un'indagine digitale.

Questo è precisamente un principio di qualità fondamentale per LB Forensics:

Un risultato non solo deve essere comprensibile, ma anche il suo processo di sviluppo deve rimanere tracciabile.

Analisi forensi dei dispositivi mobili: perché gli smartphone sono tra gli oggetti di indagine più difficili

Gli smartphone sono tra i dispositivi digitali più ricchi di informazioni oggi disponibili.

A seconda del dispositivo, del sistema operativo, dell'applicazione, della configurazione e del database disponibile, può contenere, tra le altre cose, informazioni di comunicazione, dati delle app, contatti, immagini, video, documenti, informazioni sull'utilizzo e altri artefatti digitali.

Allo stesso tempo, gli smartphone moderni sono tra gli oggetti tecnicamente più complessi da esaminare nell'ambito della digital forensics.

Le ragioni di ciò includono:

• crittografia dei dispositivi moderni,
• aree di stoccaggio protette,
• Enclave sicura e architetture di sicurezza simili,
• diverse versioni del sistema operativo,
• aggiornamenti di sicurezza regolari,
• Database e strutture di archiviazione specifici per le applicazioni,
• Sincronizzazione cloud,
• diversi stati del dispositivo e
• rapidi cambiamenti tecnologici.

Pertanto, la possibilità di ottenere determinati dati da uno smartphone può spesso essere valutata in modo affidabile solo dopo aver esaminato il dispositivo specifico, la versione del sistema operativo, le condizioni del dispositivo e altri fattori tecnici.

Promesse generiche come "Possiamo leggere completamente qualsiasi smartphone" o "Ripristiniamo tutti i messaggi cancellati" non corrispondono agli standard di qualità di LB Forensik.

Anche gli esperti di analisi forense mobile devono riconoscere i propri limiti tecnici.

Il software forense è uno strumento, non la verità.

A seconda del compito investigativo specifico, LB Forensik utilizza diverse soluzioni professionali di analisi e analisi forense.

A seconda del caso e del compito tecnico, ciò include o può includere sistemi e strumenti provenienti dai seguenti ambiti:

• Cellebrite Premium
• UFED,
• Analizzatore fisico Cellebrite
• MOBILedit Forensic,
• MEFF 3PRO,
• Incroci,
• Belkasoft X,
• magnete AXIOM
• XRY
• Imager FTK
• e altri strumenti specializzati di analisi forense.

La tecnologia esistente è rilevante. Tuttavia, la questione di come venga utilizzata è ancora più importante.

Diversi programmi possono interpretare, strutturare o visualizzare lo stesso set di dati in modi differenti. Alcuni artefatti vengono rilevati automaticamente, altri devono essere verificati manualmente. In caso di risultati complessi o contraddittori, potrebbe essere necessario un confronto con altri strumenti o con i dati grezzi sottostanti.

Pertanto, LB Forensics opera secondo un principio semplice:

L'output di un programma software è inizialmente un risultato tecnico. Diventa un risultato forense affidabile solo attraverso un esame e una classificazione da parte di esperti.

Pertanto, la domanda non dovrebbe essere quale programma forense sia presumibilmente "il migliore".

Il fattore cruciale è quale strumento sia adatto alla specifica questione e se i risultati ottenuti con esso vengano interpretati in modo professionale.

I report forensici generati automaticamente non sostituiscono una valutazione professionale.

Le moderne piattaforme forensi sono in grado di generare report completi in tempi brevi.

I dati di comunicazione vengono ordinati. I contatti vengono collegati. Le immagini vengono categorizzate. Le cronologie vengono create automaticamente. I dati delle app vengono elaborati. Gli artefatti del file system vengono visualizzati in interfacce grafiche.

Questo è di enorme aiuto per la valutazione pratica.

I problemi sorgono solo quando un report generato automaticamente viene scambiato per una valutazione professionale di un esperto.

Ad esempio, un programma può indicare la presenza di un file specifico.

Questo non risponde automaticamente alla domanda:

• chi ha creato questo file,
• come è entrata nel sistema,
• se è stato aperto deliberatamente
• se il suo contenuto fosse noto a una persona specifica,
• se è stato coinvolto un servizio di sincronizzazione o
• se il file è stato generato da un processo automatizzato.

Il software fornisce i dati.

La valutazione forense deve tenere conto dei contesti tecnici e delle spiegazioni alternative.

Le indicazioni temporali sono importanti, ma possono comunque essere interpretate in modo errato.

Nelle indagini digitali, le informazioni temporali rivestono spesso un ruolo centrale.

Quando è stato creato un file?

Quando è stato modificato?

Quando è stato utilizzato un sistema del genere?

Quando è avvenuta la comunicazione?

Quando è stato collegato un dispositivo di archiviazione esterno?

Tali domande sembrano semplici. Tecnicamente, però, possono essere molto più complesse.

I sistemi digitali memorizzano diversi tipi di timestamp. Il loro significato dipende, tra le altre cose, dal sistema operativo, dal file system, dal programma e dal tipo di dati specifici.

Inoltre, potrebbero essere rilevanti anche i seguenti elementi, ad esempio:

• Impostazioni del fuso orario,
• Estate e inverno,
• orari di sistema differenti,
• Operazioni di copia file,
• Sincronizzazioni,
• Backup,
• Orari del server,
• Servizi cloud e
• Formati di archiviazione specifici per l'applicazione.

Pertanto, un singolo timestamp non dovrebbe essere automaticamente equiparato a una specifica azione umana.

La scienza forense professionale cerca di confrontare le informazioni temporali con altri artefatti digitali e di stabilire così un contesto tecnico complessivo.

La forza della digital forensics risiede nella ricostruzione delle connessioni.

Un singolo ritrovamento digitale non è sempre decisivo.

Un quadro affidabile emerge spesso solo quando si considerano congiuntamente diverse tracce tecniche.

Una potenziale violazione dei dati potrebbe, ad esempio, lasciare tracce in diversi ambiti:

• Un file è stato elaborato in un momento specifico.
• Al sistema è stato collegato un supporto di memorizzazione esterno.
• Gli artefatti di sistema documentano determinate attività.
• I dati applicativi forniscono informazioni supplementari.
• Ulteriori informazioni temporali corrispondono alla sequenza di eventi stabilita.

Solo correlando diverse fonti di dati è possibile creare una ricostruzione tecnica comprensibile a partire da informazioni isolate.

Qui entra in gioco un altro confine fondamentale:

Un computer può essere in grado di documentare l'attività dell'utente.

Tuttavia, l'attribuzione inequivocabile di tale attività a una specifica persona fisica può costituire una questione a sé stante.

Questo è un altro motivo per cui una valutazione forense deve distinguere chiaramente tra:

• tecnicamente determinato,
• tecnicamente plausibile,
• possibile,
• non chiaramente determinabile
• e non rilevabile.

Dati cancellati: cosa può realmente ottenere la computer forensics

Il recupero dei dati è uno degli argomenti più noti nell'ambito dell'informatica forense e della sicurezza dei dispositivi mobili.

Allo stesso tempo, in questo ambito esistono molte aspettative errate.

Un file eliminato non si trova necessariamente in modo permanente in uno stato tale da poter essere completamente ricostruito.

La possibilità di un recupero dipende da numerosi fattori tecnici.

Ciò può includere, tra le altre cose:

• Tipo di supporto di memorizzazione,
• file system,
• Sistema operativo,
• Modello del dispositivo,
• Gestione della memoria,
• Crittografia,
• Processi di smistamento o di raccolta dei rifiuti,
• uso temporaneo del dispositivo,
• Sovrascrivendo le aree dati precedenti,
• Archiviazione dati specifica dell'app,
• Backup e
• Sincronizzazione cloud.

Pertanto, esistono tre situazioni fondamentalmente diverse:

Innanzitutto: i dati cancellati possono ancora essere recuperati, in tutto o in parte.

In secondo luogo, il contenuto originale non è più disponibile, ma altri artefatti digitali forniscono ancora indizi su eventi passati.

In terzo luogo: non esiste più alcun metodo tecnicamente affidabile per ricostruire le informazioni ricercate.

Anche la terza opzione può rappresentare un risultato d'esame tecnicamente corretto.

Un'analisi forense digitale seria, pertanto, distingue tra possibilità tecnica e promesse pubblicitarie.

I professionisti della medicina legale devono anche essere in grado di affermare: Ciò non può essere provato.

I clienti commissionano un'indagine forense perché hanno bisogno di chiarezza.

Tuttavia, questa chiarezza non deve essere raggiunta ignorando le incertezze.

I dati digitali non sempre forniscono una risposta chiara.

A volte mancano delle informazioni.

A volte esistono diverse spiegazioni tecnicamente plausibili.

Talvolta un manufatto è presente, ma non può essere attribuito a una persona specifica.

A volte un'ipotesi non può essere né confermata né esclusa.

In tali casi, è responsabilità professionale documentare esattamente ciò.

Un esperto forense professionista non deve solo essere in grado di spiegare cosa si può provare, ma anche di identificare chiaramente cosa non si può provare sulla base dei dati disponibili.

Questa reticenza non è una debolezza.

È un prerequisito per garantire che i risultati tecnici rimangano distinti dalle ipotesi.

L'intelligenza artificiale sta cambiando la digital forensics in due modi contemporaneamente.

L'intelligenza artificiale cambierà radicalmente l'analisi forense dei sistemi informatici.

Da un lato, i metodi supportati dall'intelligenza artificiale possono aiutare i professionisti a strutturare grandi insiemi di dati, classificare documenti, riconoscere connessioni o individuare più rapidamente le informazioni potenzialmente rilevanti.

Nelle indagini che coinvolgono milioni di file o grandi archivi di comunicazioni, tali metodi potrebbero in futuro offrire notevoli vantaggi pratici.

Al contempo, l'intelligenza artificiale sta anche cambiando i contenuti digitali che devono essere esaminati.

Le immagini possono essere generate artificialmente.

È possibile sintetizzare le voci.

I video possono essere manipolati.

I documenti possono essere creati o modificati automaticamente.

La comunicazione può essere generata dai sistemi di intelligenza artificiale.

Ciò accresce ulteriormente l'importanza delle questioni relative all'origine, all'integrità, al contesto e alla creazione tecnica delle informazioni digitali.

I risultati dell'IA non devono essere accettati come fatti senza verifica.

Un sistema di intelligenza artificiale può individuare le anomalie.

Può dare priorità ai contenuti.

È in grado di riconoscere schemi.

Può essere d'aiuto in determinate attività di analisi.

Tuttavia, una valutazione algoritmica non costituisce automaticamente un accertamento forense dei fatti.

In particolare nei casi in cui le prove sono potenzialmente rilevanti, i risultati cruciali devono essere verificati e valutati professionalmente utilizzando dati iniziali adeguati.

Per LB Forensics, un limite è quindi essenziale:

L'intelligenza artificiale può supportare il lavoro di un esperto forense, ma non deve sostituirsi alla responsabilità di una valutazione professionale.

Perché la gestione della qualità è particolarmente rilevante nell'ambito della computer forensics

L'analisi forense digitale non consiste in un singolo passaggio.

Dal primo contatto alla documentazione finale, numerosi processi si intrecciano.

Questi includono, tra gli altri:

• Chiarire l'incarico,
• Definizione della domanda di ricerca,
• Esame della portata dell'indagine,
• Acquisizione ed etichettatura degli oggetti oggetto di indagine,
• Selezione di metodi di sicurezza adeguati,
• backup dei dati forensi,
• Analisi,
• Valutazione,
• Documentazione,
• Controllo qualità,
• Protezione delle informazioni riservate
• e completamento del processo.

LB Detective GmbH opera con un sistema di gestione della qualità strutturato. Secondo l'azienda, l'ambito di certificazione del sistema di gestione della qualità copre i settori delle indagini investigative, della computer forensics, del controspionaggio e dei servizi di consulenza tecnica.

È importante fare una distinzione tecnicamente corretta:

La certificazione di un sistema di gestione della qualità secondo la norma DIN EN ISO 9001 non significa che ogni singolo risultato del test sia automaticamente corretto.

Non garantisce un esito specifico dell'indagine forense.

L'oggetto di un tale sistema sono piuttosto le strutture e i processi organizzativi, le responsabilità definite, le procedure documentate, la gestione delle deviazioni e lo sviluppo continuo della gestione della qualità.

Questo livello organizzativo è proprio quello rilevante per la digital forensics.

Le indagini delicate non dovrebbero dipendere dal fatto che una singola persona si ricordi o meno una particolare fase del processo.

Le responsabilità e i processi devono essere organizzati in modo riproducibile.

L'organizzazione da sola non può sostituire la competenza specialistica.

Una buona gestione della qualità non può sostituire la competenza professionale.

Pertanto, occorre distinguere due livelli:

la qualità dell'organizzazione e le qualifiche delle persone professionalmente responsabili.

L'amministratore delegato Sven Lungershausen possiede qualifiche in informatica forense e sistemi mobili, tra le altre cose, ed è certificato come esperto secondo la norma DIN EN ISO/IEC 17024 da LB Detective GmbH.

La norma ISO/IEC 17024 riguarda i requisiti per gli organismi che certificano persone sulla base di programmi di certificazione definiti.

Tale certificazione personale si distingue pertanto dalla certificazione di un sistema di gestione secondo la norma ISO 9001.

Semplificato:

• La norma ISO 9001 riguarda la gestione della qualità di un'organizzazione.
• Una certificazione personale secondo la norma ISO/IEC 17024 riguarda una prova regolamentata di competenza nell'ambito del rispettivo programma di certificazione.

L'uno non sostituisce l'altro.

Un esperto qualificato necessita di strutture organizzative affidabili.

Un'azienda ben organizzata ha bisogno di persone in grado di valutare professionalmente i risultati tecnici.

Una relazione forense deve essere comprensibile anche a chi non ha competenze tecniche.

Le indagini forensi non vengono spesso condotte esclusivamente per specialisti IT.

I destinatari previsti potrebbero essere, ad esempio:

• Gestione,
• Avvocati aziendali,
• avvocati esterni,
• Responsabili della conformità,
• Responsabile della protezione dei dati,
• dipartimenti delle risorse umane,
• assicurazione,
• autorità o
• Persone private.

Un buon rapporto investigativo deve quindi soddisfare simultaneamente due requisiti.

Deve essere tecnicamente preciso.

E dovrà spiegare chiaramente il significato dei risultati tecnici.

Un cliente dovrebbe essere in grado di vedere da un report:

• quale questione è stata indagata
• quali oggetti di indagine erano disponibili,
• quali metodi sono stati utilizzati,
• che hanno portato a risultati,
• quali limitazioni tecniche esistevano
• quali conclusioni si possono trarre da questo
• e dove risiedono i limiti della sua validità.

La complessità può essere spiegata.

Non dovrebbe essere celato dietro una miriade di termini tecnici.

L'analisi forense digitale richiede una gestione controllata dei dati sensibili.

Un dispositivo esaminato in sede forense spesso contiene molte più informazioni di quelle rilevanti per l'indagine.

Ad esempio, su un computer o uno smartphone si possono trovare le seguenti informazioni:

• comunicazione aziendale,
• messaggi privati,
• Dati dei clienti,
• Informazioni personali,
• Segreti commerciali,
• Documenti,
• Informazioni di accesso
• e altri dati riservati.

La possibilità tecnica di accedere alle informazioni non implica quindi automaticamente che ogni informazione tecnicamente accessibile debba entrare a far parte di un'indagine.

L'ambito dell'indagine deve essere definito in base al compito specifico e al quadro giuridico di riferimento.

In particolare nelle indagini interne alle aziende, possono essere rilevanti questioni relative alla protezione dei dati, al diritto del lavoro e, ove applicabile, alla legislazione aziendale.

LB Forensics non sostituisce la consulenza legale individuale. Nei casi giuridicamente complessi, potrebbe essere necessario consultare i consulenti legali del cliente prima o durante un'indagine tecnica.

Quando la sola analisi forense informatica non basta: il collegamento con il contro-sorveglianza e le indagini

Gli incidenti di sicurezza complessi non sempre possono essere chiaramente attribuiti a un singolo campo di competenza.

Una sospetta fuga di informazioni potrebbe inizialmente fornire indizi su un computer, ad esempio.

Dopodiché, uno smartphone può diventare rilevante.

Il passo successivo potrebbe essere quello di verificare se informazioni riservate siano state consultate al di fuori dei sistemi informatici.

Ciò può significare che per un singolo caso sono necessarie diverse discipline investigative.

All'interno del Gruppo LB, quindi, diversi dipartimenti possono collaborare, a seconda della situazione specifica:

• LB Forensics per la computer forensics, Informatica forense e analisi forense mobile,
• Difesa contro le intercettazioni LB per la contro-sorveglianza tecnica e le indagini su possibili attività di sorveglianza tecnica,
• Agenzia investigativa LB per indagini commerciali e private classiche, nonché per accertamenti di fatto.

Il Gruppo LB è un marchio di LB Detektive GmbH . I singoli reparti non costituiscono società separate, ma piuttosto aree di servizio specializzate sotto l'egida organizzativa di LB Detektive GmbH.

Per i clienti, questo approccio può essere particolarmente utile quando un caso combina aspetti digitali, tecnici e investigativi tradizionali.

Come i clienti possono riconoscere un esperto di informatica forense

Chiunque scelga un fornitore di servizi di analisi forense digitale non dovrebbe lasciarsi impressionare unicamente dai loghi dei software, dai superlativi tecnici o dalle promesse di dati presumibilmente completamente recuperabili.

Le domande specifiche sono più informative.

1. Chi è responsabile professionalmente?

Deve essere chiaro chi è responsabile dell'indagine e della valutazione e quali qualifiche professionali possiede tale persona.

2. Come vengono acquisiti gli oggetti di indagine?

Un fornitore professionale dovrebbe essere in grado di spiegare come i dispositivi digitali e i supporti di dati vengono documentati, protetti e gestiti.

3. Come viene controllata l'integrità dei dati?

A seconda del metodo di backup, dovrebbero essere previste misure adeguate per rilevare le modifiche e per rendere tracciabile la gestione dei dati originali e di lavoro.

4. Ogni nuova versione del software viene adottata senza essere verificata?

L'analisi forense professionale richiede una valutazione professionale dei risultati generati automaticamente.

5. Le limitazioni tecniche sono esplicitamente indicate?

Nessuno può garantire seriamente che tutti i dati cancellati possano essere recuperati o che ogni smartphone possa essere analizzato completamente.

6. L'indagine è incentrata su una questione specifica?

Un'indagine mirata è diversa da una ricerca indiscriminata di tutti i dati disponibili.

7. Il processo di indagine è documentato?

Il cliente dovrebbe successivamente essere in grado di comprendere come un risultato tecnico sia stato ricavato dall'oggetto dell'indagine.

8. Il fornitore può esprimere incertezza?

Trasformare ogni informazione tecnica in un'affermazione definitiva non significa automaticamente lavorare con particolare precisione.

Spesso, accade il contrario.

Il futuro della computer forensics non è determinato dal numero di programmi.

I sistemi forensi stanno diventando sempre più potenti.

Allo stesso tempo, gli smartphone vengono resi più sicuri.

La crittografia continua ad evolversi.

Le infrastrutture cloud stanno diventando sempre più complesse.

L'intelligenza artificiale sarà in grado di analizzare quantità di dati maggiori più rapidamente, creando al contempo nuove possibilità di manipolazione.

Le aziende generano sempre più informazioni digitali.

Ciò modifica anche il ruolo del perito forense.

Il suo valore risiederà sempre meno nella semplice lettura dei dati da un dispositivo.

Il compito cruciale sarà quello di individuare, all'interno di insiemi di dati complessi, le informazioni tecnicamente rilevanti per una specifica questione, verificarle in modo comprensibile e delimitarne correttamente la rilevanza.

La tecnologia crea opportunità di accesso.

La metodologia garantisce la tracciabilità.

La competenza genera la valutazione.

La documentazione garantisce la verificabilità.

La comprensione della qualità da parte di LB Forensics

LB Forensik, pertanto, non definisce la digital forensics professionale in base a un singolo strumento o facendo le affermazioni più eclatanti possibili.

Dal nostro punto di vista, diversi livelli interconnessi sono cruciali:

• una domanda di ricerca chiaramente definita,
• una strategia di sicurezza forense adeguata,
• la gestione controllata degli oggetti di ricerca,
• strumenti forensi professionali,
• analisi professionale invece di output di software non testato,
• una documentazione comprensibile,
• la protezione dei dati sensibili,
• una netta separazione tra scoperta e interpretazione,
• limitazioni tecniche comunicate apertamente,
• responsabilità professionale qualificata
• e processi organizzativi strutturati.

LB Forensics fa parte del Gruppo LB. Il Gruppo LB è un marchio di LB Detectives GmbH, con sede a Esslingen am Neckar.

Sotto questo ombrello organizzativo, vengono riunite competenze specialistiche in ambito di informatica forense, informatica forense mobile, perizie, attività investigative e controspionaggio tecnico.

Ciò consente alle indagini complesse di concentrarsi sulla domanda di ricerca anziché essere limitate a un singolo strumento o campo di competenza.

Una prova digitale deve essere in grado di spiegare come è stata creata.

Al termine di un'indagine digitale, spesso sorge una domanda apparentemente semplice:

Che cosa è stato trovato?

Tuttavia, questa domanda non è sufficiente per un esperto di informatica forense.

Altrettanto importante è:

Come è stato ottenuto questo risultato?

Quale oggetto di indagine era presente?

Come sono stati eseguiti i backup dei dati?

Quali strumenti sono stati utilizzati?

Quali artefatti tecnici sono stati valutati?

Quali spiegazioni alternative sono state prese in considerazione?

Quali sono i limiti di questa affermazione?

Una terza parte qualificata può comprendere il processo investigativo?

Solo quando a tali domande si può rispondere in modo comprensibile, l'estrazione dei dati si traduce in un'indagine forense affidabile.

Il futuro della digital forensics non appartiene quindi automaticamente all'azienda che estrae più dati o che possiede il catalogo più lungo di programmi di analisi.

Il merito spetta a coloro che sanno spiegare da dove proviene una scoperta, come è stata verificata e quale affermazione essa effettivamente esprime.

Perché i dati digitali possono essere copiati in pochi secondi.

La qualità forense si raggiunge solo attraverso processi controllati, competenza tecnica, metodologia comprensibile e valutazione professionale responsabile.

Domande frequenti su informatica forense, prove digitali e analisi forense dei prestiti

Che cos'è la digital forensics?

La digital forensics si occupa della raccolta, dell'esame, dell'analisi e della valutazione metodica delle informazioni digitali. Gli oggetti di indagine possono includere computer, smartphone, tablet, supporti di memorizzazione, server e altri sistemi digitali. L'obiettivo non è semplicemente quello di ottenere quanti più dati possibile, ma di condurre un'indagine riproducibile su una questione specifica.

Qual è la differenza tra informatica forense e informatica forense mobile?

La computer forensics è un termine generico che indica l'indagine su sistemi e dati digitali. La mobile forensics si concentra in particolare su smartphone, tablet e sistemi operativi mobili. A causa della crittografia dei dispositivi, della struttura delle app e dei diversi meccanismi di sicurezza, la mobile forensics richiede metodi e strumenti specializzati.

È sempre possibile recuperare i dati cancellati?

No. La possibilità di recuperare i dati cancellati, in tutto o in parte, o di non recuperarli affatto, dipende da fattori quali il dispositivo, il supporto di memorizzazione, il sistema operativo, il file system, la crittografia e qualsiasi utilizzo intercorso nel frattempo. Pertanto, una risposta affidabile è spesso possibile solo dopo un'analisi tecnica.

È possibile recuperare i messaggi WhatsApp o Messenger cancellati?

Ciò potrebbe essere possibile in alcuni casi, ma non può essere garantito in ogni situazione. Lo specifico smartphone, il sistema operativo e la versione dell'app, i dati locali esistenti, i backup, la sincronizzazione, la crittografia e altri fattori tecnici sono cruciali.

Che cosa si intende per backup forense dei dati?

La conservazione forense dei dati implica l'utilizzo di metodi appropriati per proteggere le informazioni digitali rilevanti in modo tale che i dati originali rimangano il più possibile tutelati e le successive fasi investigative possano essere documentate in modo tracciabile. Il metodo specifico dipende dall'oggetto particolare dell'indagine.

Qual è il significato dei valori hash nell'ambito della computer forensics?

I valori hash possono essere utilizzati per verificare l'integrità dei dati digitali. Possono aiutare a controllare se un determinato set di dati è cambiato tra due momenti diversi. Tuttavia, non sostituiscono un'adeguata conservazione delle prove o una valutazione professionale di un'indagine.

Che cosa significa "catena di custodia"?

In ambito forense, la catena di custodia si riferisce alla documentazione tracciabile della gestione di un oggetto di indagine o di una prova. Ciò può includere la consegna, l'accesso, la messa in sicurezza, l'elaborazione e altre fasi operative pertinenti.

Quale software utilizza LB Forensics?

A seconda del dispositivo, del tipo di dati e del quesito investigativo, è possibile utilizzare diversi sistemi specializzati. Le pagine dei servizi di LB Forensics elencano, tra gli altri, Cellebrite Premium, UFED, Physical Analyzer, MOBILedit Forensic, MEFF 3PRO, X-Ways, Belkasoft X, Magnet AXIOM, XRY e altri strumenti forensi. La soluzione più appropriata in un caso specifico dipende dai requisiti tecnici.

L'output di un software forense è già considerato una prova?

Non automaticamente. Il software può estrarre e visualizzare artefatti digitali. Tuttavia, il loro significato deve essere valutato tecnicamente. I fattori cruciali includono l'origine dell'artefatto, la sua affidabilità, le spiegazioni alternative e quali conclusioni siano effettivamente valide.

L'intelligenza artificiale può sostituire un esperto di informatica forense?

L'intelligenza artificiale può essere d'aiuto nella strutturazione e nell'analisi di grandi insiemi di dati. Tuttavia, nei casi che coinvolgono risultati potenzialmente probatori, questi devono essere esaminati e valutati professionalmente nel loro contesto tecnico. La responsabilità delle conclusioni forensi non dovrebbe essere trasferita a un sistema automatizzato senza un'adeguata verifica.

Che relazione c'è tra la contro-sorveglianza e la computer forensics?

Nei casi complessi di fuga di informazioni, possono essere rilevanti sia i sistemi digitali che gli ambienti fisici, gli smartphone, i dispositivi di comunicazione o altri componenti tecnici. In tali casi, la computer forensics e la contro-sorveglianza tecnica possono indagare su diversi aspetti dello stesso problema di sicurezza.

Cos'è il Gruppo LB?

LB Group è un marchio di LB Detektive GmbH. Aree di servizio specializzate come LB Forensics, LB Private Investigation e LB Counter-Eavesdropping sono riunite sotto l'egida di LB Group. La base contrattuale e organizzativa è LB Detektive GmbH.

Che cos'è LB Forensics?

LB Forensics è la divisione specializzata del Gruppo LB in informatica forense, informatica forense e informatica forense mobile. Il Gruppo LB è un marchio di LB Detective GmbH, con sede a Esslingen am Neckar.

A chi spetta la responsabilità professionale?

Sven Lungershausen è uno dei direttori generali di LB Detektive GmbH. L'azienda lo identifica come esperto certificato in informatica forense e sistemi mobili, nonché come esperto certificato secondo la norma DIN EN ISO/IEC 17024.

La certificazione ISO 9001 dimostra forse che ogni parere degli esperti è corretto?

No. La certificazione secondo la norma DIN EN ISO 9001 si riferisce a un sistema di gestione della qualità e non deve essere confusa con una garanzia di accuratezza di una singola constatazione tecnica o di un parere di un esperto. Per la qualità professionale di uno specifico processo, sono fondamentali anche la qualificazione, la metodologia, l'indagine, la valutazione e la documentazione.

Per chi lavora LB Forensics?

Le indagini forensi digitali possono essere rilevanti per aziende, studi legali, organizzazioni, agenzie governative (nell'ambito delle loro competenze) e privati ​​cittadini. Il tipo di indagine più appropriato e fattibile deve essere determinato in base alle circostanze specifiche di ciascun caso.

Le anomalie digitali dovrebbero essere valutate da un professionista il prima possibile.

In caso di potenziale violazione dei dati, attività sospette su un computer o smartphone, cancellazione di informazioni, incidente informatico o altre anomalie digitali, anche la continua gestione del sistema interessato può avere un impatto sulle tracce digitali esistenti.

Pertanto, prima di apportare modifiche indipendenti, nuove installazioni, ripristini o accessi estesi, può essere utile chiarire quali misure di sicurezza siano adatte al sistema specifico.

LB Forensics – servizi di analisi forense digitale all'interno del Gruppo LB, marchio di LB Detectives GmbH.

L'attenzione si concentra sul backup verificabile dei dati, sull'analisi tecnica, sulla valutazione da parte di esperti e sulla documentazione comprensibile delle questioni digitali.