Table Of ContentINDAGINI DIGITALI
VADEMECUM DI UNO SHERLOCK HOLMES
INFORMATICO
- 2011 -
di
NANNI BASSETTI
Questo testo è rivolto agli operatori del settore ed è pensato
come ad un vademecum utile a fini formativi, di guidelines e di
checklist.
DEFINIZIONE...........................................................................................4
L’INIZIO.....................................................................................................8
L’IDENTIFICAZIONE...........................................................................9
CHECKLIST......................................................................................13
L’ACQUISIZIONE................................................................................16
NON ALTERARE LA SORGENTE DEI DATI...................................16
ANNOTARE TUTTE LE CARATTERISTICHE DEL DISPOSITIVO IN
ESAME..............................................................................................17
DIFFERENZA TRA DOCUMENTO ELETTRONICO E QUELLO
CARTACEO......................................................................................24
OVERVIEW SUGLI STRUMENTI SW E HW...................................24
OPERAZIONI INIZIALI....................................................................25
ESEMPI D’USO................................................................................30
L’ANALISI E LA VALUTAZIONE.....................................................31
L’ANALISI FISICA..............................................................................37
FOREMOST ED I SUOI SEGRETI…...............................................39
RECUPERARE UN FILE CANCELLATO........................................42
FUNDL – File UNDeleter.................................................................42
AIR 2.0.0 (Automated Image and Restore)........................................45
L’ANALISI LOGICA............................................................................47
L’ANALISI LIVE - INCIDENT RESPONSE......................................47
PROFILING......................................................................................49
LA RICERCA.....................................................................................52
VALUTAZIONE...................................................................................54
REPORTING E PRESENTAZIONE.....................................................55
CASE HISTORY......................................................................................55
ANCORA UN’INDAGINE FORENSE...................................................63
SELECTIVE FILE DUMPER.................................................................70
ALTRI CASI REALI...............................................................................72
PROBLEMI INSOLUTI..........................................................................74
ANTI-FORENSICS ALCUNE TECNICHE DI BASE.........................81
ALTRI SISTEMI ANTI FORENSICS...................................................86
2
THE SLEUTHKIT MINI GUIDA OPERATIVA..................................87
RAW2FS E SCRIPTS4CF SCRIPTS AND TOOLS.............................93
XMOUNT FINALMENTE LIBERI DI VIRTUALIZZARE!..............96
IL SETTORE DANNEGGIATO E L'ACQUISIZIONE FORENSE...98
IL MISTERO DI $LOGFILE NELL'MFT..........................................102
PILLOLE DI SAGGEZZA....................................................................105
COME SI FA A SAPERE QUANDO IL COMPUTER È STATO ACCESO/SPENTO?
.............................................................................................................105
ACQUISIZIONE VIA RETE...............................................................106
HASH DISCO CLONATO SU DISCO PIÙ GRANDE.......................106
STERILIZZARE E CONTROLLARE:...............................................107
PROCEDURA DI ACQUISIZIONE DA LIVE CD (ES. CAINE).......................108
VIRTUALIZZARE IL FILE IMMAGINE CON VIRTUALBOX...........108
HASHBOT - CONGELIAMO IL WEB!........................................................109
CREARE UN TIMELINE CON SLEUTHKIT.................................................110
I FUNDAMENTALS LEGALI..............................................................111
RIFERIMENTI STORICI E LINEE GUIDA......................................112
CONCLUSIONI......................................................................................114
LINKS INTERESSANTI:......................................................................115
3
Definizione
La Digital Forensics è la disciplina scientifica che serve per
identificare, acquisire ed analizzare una prova digitale,
preservandola da eventuali alterazioni.
Scientifica: ripetibile (Galileo Galilei)
Prova: deve garantire il suo uso in tribunale.
Viviamo in un’epoca digitale, siamo immersi nei dispositivi
elettronici e portiamo addosso svariati Gigabyte di memoria,
USB Flash memory, Memory cards per telefonino e per
macchina fotografica, palmari, computer portatili, IPod,
IPhone, ecc. ecc.
Tutta questa memoria digitale è molto utile per tante
applicazioni, però è anche un deposito di informazioni, non
sempre “innocenti”.
Quando si pensa alle perizie informatiche, si associano spesso a
reati informatici, i cosiddetti CyberCrimes, le truffe su internet,
il phishing, ecc.
Questa percezione è errata, perché ogni reato oggi ha a che fare
con i dispositivi digitali, dal falso in bilancio all’omicidio, dalle
minacce alle truffe, dalla pedofilia al terrorismo.
Non bisogna credere che la perizia su un computer o su una
sim card vada compiuta solo a seguito di un crimine
“prettamente” informatico, perché nel momento in cui
qualcuno commette un reato, c’è l’alta probabilità che abbia
pianificato, ricercato, scritto e conservato qualcosa su una
memoria digitale, sia esso un hard disk, dei DVD o CD-ROM,
una memoria flash, la sim card del telefonino, fino a giungere
addirittura al nastro digitale di una videocamera casalinga.
Spesso s’ignora la repertazione dei media
informatici/elettronici e si tende a carpire la verità con i sistemi
classici, con l’analisi di carte , fascicoli e testimonianze (a volte
inattendibili), quando magari si potrebbe risparmiare tempo ed
4
avere prove “schiaccianti” individuando un documento
elettronico in cui l’indagato pianificava l’omicidio della moglie
o si documentava per costruire una pipe-bomb.
A volte, se si trova un computer in casa dell’indagato, si
procede al sequestro, servirebbe tuttavia ragionare in senso più
ampio procedendo al sequestro e all'analisi d’ogni singola
memoria presente nei luoghi frequentati dall’indagato (l’ufficio
per esempio), perché magari non c’è alcunché sul computer,
mentre nella chiavettina usb che questi porta nella tasca dei
jeans sono memorizzati documenti o files compromettenti.
È solo una questione di mentalità ed abitudine, riuscire a
dissociare l’indagine informatica dal concetto di crimine
informatico e legarla alla commistione dei crimini comuni.
Qualcuno potrebbe obbiettare che in TV e sui giornali si sente
spesso parlare di sequestri ed analisi sui computer degli
indagati, (il caso del piccolo Tommy Onofri, del palmare della
Lioce, il caso di Garlasco o di Meredith di Perugia, di Brenda-
Marrazzo), sorge però il sospetto che queste repertazioni
informatiche avvengano solo in presenza di “casi importanti”,
lasciando il dubbio che tali metodiche non vengano messe in
atto per far fronte a casi di divorzio, minacce, molestie,
mobbing .
La casistica giurisprudenziale italiana non c’è d’aiuto per
comprendere se le metodiche e procedure d’indagine digitale
trovino spazio anche per investigazioni minori.
Lo scopo di questa riflessione è di porre all'attenzione del
lettore sulle possibilità investigative che l'informatica forense
offre, portandolo a considerare l’indagine informatica quale
valida, inscindibile ausilio dell'indagine tradizionale, strumento
da non scordare e da non relegare ai soli casi di criminalità
informatica.
La scienza forense applicata all’informatica è ancora una
materia giovane ed in via di sviluppo, ma in particolar modo
5
una scienza in divenire, al costante inseguimento della
tecnologia.
L’autorità Giudiziaria, spesso non riesce a star dietro a tutto
questo, non sapendo inoltre come comportarsi di fronte a dati
così facilmente alterabili e, a volte, deperibili.
È quindi compito degli investigatori del futuro adottare un
protocollo comune di repertazione, custodia ed analisi dei dati.
È a tal fine necessario seguire un protocollo, d’acquisizione ed
analisi, preciso e stringente in modo da evitare di invalidare le
prove.
Se si acquisisce l’arma del delitto a mani nude o si esegue
un’analisi distruttiva su di un indizio di prova repertato, con la
conseguente impossibilità di effettuare una controperizia, si
rischia di invalidare il procedimento, stessa cosa dicasi per gli
elementi informatici.
Tra i giuristi italiani si può riscontrare una mancanza culturale
riguardo alla fragilità delle “evidence” digitali, che può portare
a non valutare correttamente le conseguenze e le implicazioni
legali di una perizia effettuata nel mancato rispetto delle “best
practices”.
Questo può portare a grossolani errori sia in accusa sia in
difesa.
Portiamo un esempio per comprendere meglio la problematica:
Ipotizzando di avere un accusato di mobbing, che usava l’e-
mail per svilire il lavoro di un proprio dipendente, se la perizia
sul computer dell’indagato è fatta in modo scorretto, potrà
risultare che non vi era stato alcun carteggio elettronico
offensivo tra il capo ed il dipendente, l’avvocato difensore
tenterà in tal caso la strada delle testimonianze, non valutando
l'utilità di una controperizia, che se fatta bene avrebbe svelato
le e-mail probatorie, magari cancellate dall'accusato.
Uno scenario ben peggiore può essere disegnato nel caso di una
perizia che poggia sull'esecuzione di procedure errate già nelle
6
primissime fasi, magari accendendo il computer.
Quanti sanno che in tali casi quella perizia può essere
invalidata?
Quindi prima di tutto il PROTOCOLLO.
Esso si basa, per ora, su una serie di regole ereditate dal mondo
anglosassone, che ci guida nella repertazione corretta, nella
creazione di una catena di custodia dei reperti e nel reporting
finale delle analisi effettuate, creando un processo non
distruttivo ma ripetibile.
Scopo di questo testo è quello di fornire un protocollo
procedurale, sicuramente non il migliore ed esaustivo in
assoluto, finalizzato all'esecuzione delle operazioni
d’acquisizione ed analisi nel rispetto delle norme vigenti e del
mantenimento della prova inalterata.
Sarà inoltre preso in esame il targeting dell’indagine, ossia
capire cosa cercare, dove cercarlo, realizzando nel caso un
profiling del possessore del mezzo informatico, poiché un
tecnocrate appassionato avrà modo di conservare e cancellare
le proprie tracce in maniera totalmente diversa da un utente
normale di computer.
I campi d’azione della Digital Forensics sono:
1) Indagini interne ad un’azienda
2) Supporto alla Polizia Giudiziaria ed ai PM (CTU)
3) Supporto ai privati indagati (CTP)
4) Valutazione danni
5) Spionaggio
6) Frode
7) Pedopornografia
8) Violazione policy
9) Ricatto
10) Terrorismo
7
11) Ecc.
L’INIZIO
La Digital Forensics si snoda attraverso quattro fasi principali:
1) Identificazione
2) Acquisizione
3) Analisi e valutazione
4) Presentazione
8
L’IDENTIFICAZIONE
Sulla scena del crimine bisogna, innanzi tutto, identificare ogni
dispositivo che può contenere prove (digital evidences),per poi
acquisirlo.
EVITARE di:
• Aver fretta.
• Improvvisarsi esperti su sistemi sconosciuti.
• Usare strumenti non collaudati e/o improvvisati.
• Esprimere pareri personali, NOI siamo TECNICI non
Avvocati o Psicologi.
• Rilevare sempre il tempo e la data usando strumenti
affidabili e attenzione al formato (GMT o UTC).
Attualmente, i dispositivi digitali che possono contenere le
prove sono tantissimi e spesso sono così, inseriti nel nostro
habitat da non farci più caso.
9
Esempi:
1) Computers
2) Memory cards
3) Nastri digitali
5) SIM cards
6) Cd-DVD rom
7) Smart printers
8) Smart Fax
9) Lettori MP3/AVI
10) Playstation et similia
11) ecc.
10
