Ordine di volatilità e acquisizione delle evidenze

L'analisi forense digitale consiste nell'applicazione di metodi scientifici per raccogliere, preservare, analizzare e presentare prove digitali in modo legalmente ammissibile. Gli investigatori forensi ricostruiscono le tempistiche degli attacchi, identificano la causa principale degli incidenti e recuperano dati eliminati o nascosti. Il settore opera secondo rigorosi requisiti procedurali, perché le prove gestite in modo improprio, anche dal punto di vista tecnico, potrebbero non essere ammesse nei procedimenti giudiziari. L'analisi forense collega il mondo tecnico a quello legale.

L'ordine di volatilità definisce la sequenza con cui devono essere raccolte le prove digitali, da quelle più volatili (che scompaiono prima) a quelle meno volatili (che persistono più a lungo). Gli investigatori forensi raccolgono sempre prima i dati più volatili, perché andranno persi quando il sistema viene spento o riavviato. Raccogliere le prove nell'ordine sbagliato distrugge dati che avrebbero potuto essere acquisiti. Lo standard RFC 3227 fornisce un ordine di volatilità ampiamente adottato nelle procedure forensi.

L'acquisizione della memoria (cattura della RAM) è una delle attività forensi più preziose e sensibili al fattore tempo. La RAM contiene: processi in esecuzione e relativi argomenti, versioni decrittografate dei file cifrati attualmente in uso, tabelle delle connessioni di rete, credenziali memorizzate nella cache dal sistema operativo, chiavi di cifratura presenti in memoria e malware fileless che esiste solo nella RAM. La memoria deve essere acquisita mentre il sistema è acceso: un riavvio o uno spegnimento distrugge completamente queste prove. Tra gli strumenti figurano Magnet RAM Capture, WinPmem e LiME (per Linux).

La creazione di immagini disco produce una copia forense bit per bit di un dispositivo di archiviazione, inclusi tutti i dati, i file eliminati, lo spazio non allocato e i metadati del file system. Per evitare modifiche accidentali alle prove originali, tra il disco contenente le prove e la workstation forense viene collegato un write blocker: consente i comandi di lettura, ma blocca qualsiasi comando di scrittura. In questo modo si garantisce che le prove originali non vengano modificate durante l'acquisizione, preservandone l'integrità per i procedimenti giudiziari.

L'hashing crittografico è fondamentale per l'integrità delle prove forensi. Ogni elemento di prova deve essere sottoposto a hashing al momento della raccolta utilizzando SHA-256 (o MD5 per la compatibilità con i sistemi legacy). L'hash viene registrato nella documentazione della catena di custodia. Ogni volta che la prova viene consultata o trasferita, l'hash viene ricalcolato: se corrisponde a quello originale, la prova non è stata modificata. I tribunali richiedono questa dimostrazione di integrità per accettare le prove digitali. Una mancata corrispondenza dell'hash indica che la prova è stata alterata e potrebbe non essere ammessa.

L'analisi forense live (online) raccoglie le prove da un sistema in esecuzione, acquisendo i dati volatili prima dello spegnimento. È necessaria quando occorre analizzare la memoria volatile, quando non è possibile mettere il sistema offline o quando il malware fileless non sarebbe visibile sul disco. L'analisi forense post-mortem (offline) esamina i sistemi spenti utilizzando immagini disco, in modo più sicuro e controllato. Gli incidenti moderni richiedono spesso una combinazione dei due approcci: acquisire i dati volatili mentre il sistema è in funzione, quindi spegnerlo e creare un'immagine del disco per un'analisi più approfondita.

Durante un incidente in corso che coinvolge più sistemi, gli investigatori devono eseguire il triage, stabilendo quali sistemi esaminare per primi. I criteri di triage includono: i sistemi con il livello di accesso più elevato (controller di dominio, database), quelli che hanno maggiore probabilità di contenere meccanismi di persistenza dell'attaccante, quelli con l'attività dannosa più recente e quelli con il maggiore impatto aziendale. La raccolta a livello di triage utilizza la telemetria EDR e la raccolta mirata di artefatti invece della creazione di immagini complete dei dischi, consentendo un'analisi rapida di molti sistemi contemporaneamente.

I file cattura dei pacchetti (PCAP)** registrano tutto il traffico di rete a livello di pacchetto. Durante un incidente, le prove PCAP possono rivelare: credenziali trasmesse in chiaro, comandi inviati ai sistemi compromessi tramite canali C2, dati esfiltrati (grandi trasferimenti in uscita), movimento laterale (schemi delle connessioni interne) e origini dei download di malware. I PCAP vengono acquisiti utilizzando Wireshark, tcpdump o network tap. L'acquisizione dei PCAP richiede un'autorizzazione, poiché cattura tutto il traffico di un segmento e può includere comunicazioni privilegiate.

Gli ambienti cloud presentano sfide forensi specifiche. L'accesso fisico all'hardware sottostante non è disponibile, poiché i provider cloud controllano il livello dell'hypervisor. Le immagini dei dischi delle macchine virtuali possono essere acquisite tramite snapshot attraverso le API cloud. I dati di log (CloudTrail, Azure Monitor) sono la principale fonte di prove per gli incidenti cloud. L'acquisizione della memoria è limitata alle tecniche supportate dal provider cloud o dall'introspezione della macchina virtuale. La giurisdizione applicabile alle prove può essere complessa se i server cloud si trovano in Paesi diversi da quello in cui si è verificato l'incidente. Comprendere questi vincoli è essenziale per le indagini sugli incidenti cloud.

Gli investigatori forensi utilizzano strumenti specializzati progettati per gestire correttamente le prove. Autopsy (open source) e FTK (Forensic Toolkit) (commerciale) analizzano le immagini disco ed estraggono gli artefatti. Volatility analizza i dump della memoria per estrarre processi, connessioni di rete e artefatti di malware. Magnet AXIOM gestisce sia l'analisi forense digitale sia quella dei dispositivi mobili. Wireshark analizza i file PCAP. X-Ways Forensics è una suite commerciale leggera ma potente. Gli investigatori devono utilizzare strumenti convalidati per garantire l'integrità delle prove.

La preparazione forense significa che un'organizzazione ha adottato, prima di un incidente, misure per garantire che le prove digitali possano essere raccolte in modo efficiente e siano legalmente ammissibili. Tra i componenti figurano: logging completo configurato su tutti i sistemi critici, conservazione dei log per un periodo sufficiente a supportare le indagini (90-365 giorni), procedure documentate per la gestione delle prove, primi soccorritori adeguatamente formati che sappiano non alterare le prove, strumenti forensi già predisposti o disponibili con breve preavviso e autorizzazioni legali esaminate in anticipo (ad esempio, il consenso dei dipendenti alle policy di monitoraggio).

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: l'ordine di volatilità richiede di acquisire prima la RAM e i processi in esecuzione, perché vengono persi quando il sistema viene spento, i write blocker impediscono qualsiasi modifica alle prove originali durante la creazione delle immagini disco e l'hashing SHA-256 al momento della raccolta e della verifica garantisce l'integrità delle prove ai fini dell'ammissibilità legale. Prossimamente esamineremo la catena di custodia e l'ammissibilità legale.