Computer forensics - Giacci Martina Fantini
08/10/2018 Giacci
Digital Forensic
Aspetti generali
È importante svolgere un sistema di indagini in modo corretto, cioè senza alterare/modificare le prove:
acquisizione corretta delle prove, in modo da non contaminarle, rispettando il loro stato e che nessuno si possa
opporre alla correttezza del nostro processo.
Ci si muove in un ambito nuovo e molto delicato, bisogna essere molto informati per non passare da tecnico
a imputato.
(Intercettazione ambientale (registrare conversazioni di cui non si fa parte) → è permessa solo alle forze
dell’ordine (reato penale, 3-5 anni))
Compito principale:
Ci occupiamo di 3 aspetti:
1. Preservazione (della prova, come la gestisco);
2. Identificazione (della prova → dove posso trovare prove);
3. Analisi (dei contenuti digitali racchiusi all’interno di un dispositivo di elaborazione, ma più in
generale all’interno di un sistema informativo (pc, rete, switch configurabili…)).
In particolare, ci si può trovare in due diverse posizioni:
1. Perito di parte → non esegue tutte le 3 fasi perché lavora su perizie già fatte per contestarne l’analisi;
2. Perito di procura → chiamato dalla procura ed esegue tutte le fasi.
Obiettivo: evidenziare l’esistenza di prove utili allo svolgimento dell’attività investigativa.
Ad esempio, dobbiamo stabilire se è stato fatto l’accesso ad un certo sito: non sequestro il mouse, lo schermo,
ecc, ma ci si limita all’analisi da effettuare, quindi solo il disco del pc. Ci sono anche casi in cui si sequestra
tutto, però, in generale, le prove devono essere limitate.
Al posto del sequestro, si può anche copiare la prova senza interrompere l’attività del professionista ed
incorrere in danni economici. In alcuni casi, la tastiera è sequestrata se, ad esempio, si vuole avere un campione
biologico che non rientra nella nostra perizia, ma nelle indagini.
In ogni caso, tutti gli ordini di sequestro sono impartiti dal giudice.
Metodologia di lavoro: Bisogna applicare una metodologia di lavoro ben definita, che consiste in una
piattaforma di comportamenti da attuare:
• Normalizzazione dei risultati, al fine di ottenere risultati simili per perizie differenti (copia, valida la
copia, osserva la partizione, guarda i file nascosti, ecc);
• Controparte, (essere inattaccabile) evitare l’invalidazione del lavoro svolto per vizi di forma
• Verificabilità, i periti di parte avversa verificano i risultati esposti dagli investigatori
Il continuo mutamento del mondo della tecnologia e le molteplici soluzioni/prodotti offerti dall’industria
tecnologica rendono difficile stabilire una metodologia di lavoro applicabile in tutti i contesti. L’unico aiuto è
l’esperienza. In questo caso, stabilire delle procedure è come stabilire delle funzioni virtuali e ne rimando
l’implementazione che può variare da un girno all’altro. -> nel senso che non c’è un algo prestabilito ma solo
delle linee guida generali, dovute alla continua evoluzione delle tecnologie (ex. La nascita di Huawei, tutti
crittografati).
La Digital Forensic opera, quindi, anche per stabilire procedure collaudate che, nei diversi contesti, permettano
l’identificazione e l’analisi dei contenuti digitali.
Ad esempio, se dobbiamo prendere delle prove dai social, si deve verificare il Server (quindi che sia valido)
identificandolo, vedere il tracciamento di rete verso il Server, far vedere che si sta usando Internet e alla fine
dimostrare cosa c’è scritto. Bisogna certificare il momento in cui avviene la perizia, quindi l’uso del Server
