Raccolta delle prove e catena di custodia

Le evidenze digitali raccolte durante la risposta a un incidente possono essere utilizzate in procedimenti legali, provvedimenti disciplinari delle risorse umane o verifiche normative. Devono essere raccolte, preservate e documentate secondo procedure corrette, così da mantenerne l'ammissibilità e l'integrità.

Categorie di evidenze:

• Volatili: contenuto della RAM, processi in esecuzione, connessioni di rete — vengono perse al riavvio
• Non volatili: immagini disco, file di log, record dei database
• Di rete: catture di pacchetti, record NetFlow
• Applicative: log degli accessi, audit log, email

Raccogliere i dati volatili prima di spegnere un sistema:

Creare un'immagine forense (una copia bit per bit) del supporto di archiviazione. Utilizzare write blocker per impedire qualsiasi modifica all'originale. Verificare tramite hash:

Un write blocker è un dispositivo hardware o software che impedisce qualsiasi scrittura sul supporto contenente le evidenze durante la creazione dell'immagine. Senza un write blocker, il processo di imaging potrebbe modificare gli orari di accesso o altri metadati, contaminando le evidenze.

La catena di custodia documenta ogni persona che ha gestito le evidenze, quando lo ha fatto e per quale motivo. Include:

• Identificativo e descrizione dell'evidenza
• Data e ora della raccolta
• Raccolta da (nome, firma)
• Luogo di conservazione
• Registri dei trasferimenti (chi l'ha ricevuta e quando)

Per conservare le evidenze:

• Conservare gli originali in buste per evidenze sigillate ed etichettate
• Lavorare esclusivamente su copie verificate
• Conservare le evidenze in luoghi sicuri con accesso controllato
• Documentare i valori hash per verificarne l'integrità
• Non lavorare mai sul supporto originale contenente le evidenze

I log sono spesso le evidenze più preziose. Conservare:

Quando si prevede un contenzioso o un'indagine normativa, emettere un legal hold — una direttiva che impone di conservare tutti i record potenzialmente rilevanti. Questa direttiva sospende i normali piani di conservazione dei dati. La mancata conservazione può comportare contestazioni per spoliation.

Strumenti forensi comuni:

• Autopsy/Sleuth Kit — analisi forense dei dischi
• Volatility — analisi della memoria
• Wireshark — analisi della cattura dei pacchetti
• FTK Imager — creazione di immagini disco
• SIFT Workstation — distribuzione forense basata su Ubuntu

I dispositivi mobili richiedono una gestione specializzata: attivare la modalità aereo per impedire la cancellazione da remoto e inserirli in una custodia di Faraday per bloccare i segnali. Utilizzare strumenti di mobile forensics (Cellebrite, Oxygen Forensic) che supportino i file system dei dispositivi mobili e la struttura dei dati delle app.

Perché è necessario raccogliere la memoria volatile (RAM) prima degli altri tipi di evidenza?

La raccolta delle evidenze deve seguire procedure corrette per essere ammissibile. Raccogliere prima i dati volatili (RAM, processi, connessioni), perché scompaiono al riavvio. Utilizzare write blocker per la creazione di immagini disco. Mantenere la documentazione della catena di custodia. Calcolare l'hash di ogni elemento per dimostrarne l'integrità. Il legal hold sospende la cancellazione dei dati. Lavorare esclusivamente su copie verificate, mai sugli originali.