Fondamenti di informatica forense e catena di custodia

L'informatica forense è il recupero, la conservazione e l'analisi disciplinati delle prove digitali, affinché i risultati resistano a un esame rigoroso, anche in tribunale.

Non consiste soltanto nel recupero dei dati. Il requisito distintivo è la difendibilità: ogni azione deve essere documentata, ripetibile e imparziale.

• Identificazione delle fonti di prova pertinenti
• Conservazione senza alterazioni
• Analisi con metodi convalidati
• Presentazione in report chiari e riproducibili

Quando risponde a un incidente in corso, raccolga le prove dalla fonte più volatile a quella meno volatile. I dati che scompaiono più rapidamente devono essere acquisiti per primi.

• Registri e cache della CPU
• Tabella di routing, cache ARP, elenco dei processi, connessioni di rete
• RAM (memoria)
• File system temporanei
• Disco
• Logging remoto e supporti di archiviazione

RFC 3227 codifica questo principio. Se acquisisce l'immagine del disco troppo presto, perde per sempre gli artefatti della RAM in uso.

La catena di custodia è il registro cronologico documentato che mostra chi ha gestito la prova, quando, perché e che cosa ne ha fatto.

Una sola lacuna può rendere la prova inammissibile. Ogni trasferimento viene registrato.

• Chi ha raccolto e ricevuto l'elemento
• Che cosa è l'elemento (numero di serie, hash, descrizione)
• Quando è avvenuto ogni passaggio di consegna
• Dove è stato conservato
• Perché è cambiata la custodia

Gli hash crittografici dimostrano che una prova non è cambiata. Calcoli l'hash al momento dell'acquisizione e lo ricalcoli in seguito; la corrispondenza dei valori dimostra l'integrità.

Utilizzi SHA-256 come standard moderno. MD5 e SHA-1 sono ancora presenti negli strumenti legacy, ma sono deboli rispetto alle collisioni; molti laboratori registrano entrambi per una verifica incrociata.

Un dispositivo di blocco della scrittura si interpone tra l'investigatore e l'unità contenente la prova, consentendo le letture e impedendo fisicamente o logicamente le scritture. In questo modo si garantisce che l'originale non venga mai modificato durante l'acquisizione.

• I dispositivi hardware di blocco della scrittura sono dispositivi in linea, preferiti per le attività in tribunale
• I dispositivi software di blocco della scrittura configurano il sistema operativo per montare l'unità in sola lettura

Anche il normale montaggio di un'unità può aggiornare i timestamp di accesso, quindi il dispositivo di blocco è obbligatorio per i supporti originali.

La regola d'oro è: analizzare una copia verificata e conservare l'originale. L'originale viene trasferito nell'archivio delle prove e toccato il meno possibile.

La best practice consiste nel creare almeno due copie: un'immagine di lavoro per l'analisi e un master d'archivio mantenuto intatto. Entrambe devono avere un hash corrispondente a quello della fonte.

Anche le note redatte contestualmente sono prove. Registri le azioni mentre le esegue, non basandosi in seguito sulla memoria.

• Applichi un timestamp a ogni azione (utilizzi UTC per evitare ambiguità)
• Fotografi la scena e lo stato del dispositivo
• Annoti i nomi e le versioni degli strumenti
• Registri eventuali anomalie o errori

Se non è stato messo per iscritto, in tribunale è come se non fosse mai accaduto.

Prima di toccare qualsiasi elemento, verifichi di avere l'autorità legale necessaria: un mandato, il consenso, un'autorizzazione interna o una normativa applicabile. Superare l'ambito autorizzato può compromettere l'intero caso ed esporre l'investigatore a responsabilità.

L'informatica forense è vincolata dalla giurisdizione. I dati transfrontalieri, le aspettative di privacy dei dipendenti e la normativa sulla protezione dei dati (GDPR, KVKK) limitano ciò che è possibile raccogliere e le modalità di raccolta.

I risultati devono essere ripetibili: un altro esaminatore che utilizzi strumenti convalidati sulle stesse prove dovrebbe arrivare alla medesima conclusione.

Per questo i laboratori utilizzano strumenti affidabili e sottoposti a controllo delle versioni (testati da NIST CFTT, ove possibile) e ne documentano le versioni. Script personalizzati o non verificati compromettono la difendibilità.

Una workstation dedicata e isolata previene la contaminazione incrociata e la fuoriuscita accidentale di prove sulla rete.

• Isolata dalla rete o protetta da un firewall molto restrittivo
• Supporti di destinazione sterilizzati (cancellati + verificati) per le immagini
• Insieme di strumenti convalidato (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Accessi registrati

L'integrità deve poter essere dimostrata non solo al momento dell'acquisizione, ma durante tutta la conservazione. Ricalcoli l'hash periodicamente e dopo ogni trasferimento, confrontandolo con il valore di riferimento dell'acquisizione.

• Sigilli antimanomissione sui supporti fisici
• Conservazione delle prove con accesso controllato e registrato
• Hash registrato a ogni passaggio della catena di custodia

Se un hash calcolato successivamente differisce da quello originale, la prova viene considerata compromessa e i relativi risultati vengono contestati.

Verifichi la comprensione dell'ordine di acquisizione.

Ha esaminato i fondamenti di un'analisi forense difendibile:

• L'ordine di volatilità determina la sequenza di acquisizione
• La catena di custodia documenta ogni passaggio
• Il calcolo degli hash (SHA-256) dimostra l'integrità
• I blocchi di scrittura proteggono gli originali
• Operi sempre su copie verificate
• Documentazione, ambito giuridico e ripetibilità rendono le prove ammissibili

Prossimo argomento: trasformare questi principi in vere immagini dei dischi e nel recupero degli artefatti.