Indice generale. Introduzione. Capitolo 1 Panoramica generale Capitolo 2 Il panorama giuridico italiano... 7

Transcript

1 Introduzione Ringraziamenti...xv...xix Capitolo 1 Panoramica generale... 1 Che cos è la Computer Forensics?... 1 Applicazioni della Computer Forensics... 3 Una metodologia forense... 4 Una filosofia di lavoro... 5 Capitolo 2 Il panorama giuridico italiano... 7 Normative applicabili in Italia... 7 La nozione di prova...10 La prova in sede civile...11 Cenni sui singoli mezzi di prova nel processo civile...13 La prova in sede penale...18 La prova in sede lavoristica...28 Focus: aspetti specifici del controllo sui lavoratori...30 Valenza della Computer Forensics a livello processuale...39 Profili giuridici dell acquisizione, conservazione e analisi della prova informatica...42 Profili giuridici dei file di log...46 Profili giuridici della Network Forensics...51 Problematiche aperte...53 Giurisprudenza rilevante...55 Capitolo 3 Acquisizione del dato: sequestro e duplicazione...59 Modalità di acquisizione...59 Ricerca...60 Sequestro...61

2 vi Computer Forensics Alcune considerazioni...62 Preservare lo stato della prova...63 Personal computer...65 Personal digital assistant (PDA)...68 Netbook...69 Tastiera e mouse...70 Duplicazione...70 Alcune considerazioni...71 Software da utilizzare...73 Il problema dei RAID...75 Il write blocker...77 Copia di un sistema Live...83 Capitolo 4 Intercettazione del dato...85 Premessa...85 Una questione di trasparenza...85 Hardware...89 Software...90 Configurazione...91 tcpdump...93 tshark...94 Conservazione e analisi...95 Capitolo 5 Il laboratorio di analisi...97 Premessa...97 Concetti generali...98 OpenAFS...99 Architettura del laboratorio di analisi Connessioni di rete Macchina da analisi/acquisizione Cabinet capiente ma facilmente trasportabile Elevata velocità di I/O Reparto dischi efficiente e di grande capacità Sistema RAID Grande adattabilità nei collegamenti Macchine da analisi/test File/application server Backup Software Sistema operativo LiveCD Distribuzione general purpose Scegliere la distribuzione Capitolo 6 Media, partizioni e volumi Premessa Comandi e funzioni Unix...116

3 vii Gestione delle immagini disco Sistemi di partizionamento Il mondo non è mai semplice Linux LVM Linux Software RAID Windows Dynamic Disk (LDM) e Software RAID Analisi preliminare Capitolo 7 File system Premessa Caratteristiche comuni ai file system Dati, metadati e altre strutture Logica di funzionamento Principali file system FAT Considerazioni a livello di analisi NTFS Allocazione dei cluster Runlist Principali attributi nelle entry MFT Indici Strutture metadati esterne Novità introdotte nella nuova release (informalmente NTFS v. 6.0) Ext2 ed Ext Il superblock Group description table Block bitmap e inode bitmap Inode Attributi estesi Directory entry Link simbolici Journal ReiserFS Struttura di ReiserFS HFS Struttura di HFS ZFS Concetti chiave zpool e device Boot block Puntatori ai blocchi, diretti e indiretti Gestione degli oggetti, metadati e relazioni Gestione di snapshot e dataset Oggetti ZAP ZFS, ZPL Intent log Conclusioni su ZFS...208

4 viii Computer Forensics Capitolo 8 Tool e programmi di analisi Premessa Categorie Sistemi di virtualizzazione VMware Parallels XEN QEMU KVM Programmi di hacking e cracking Casi possibili Password resetting Password cracking Debugger, decompiler, disassembler Network dissector Programmi di conversione Scenari comuni Posta elettronica Audio, video e immagini Analisi di file e dischi File viewer Editor esadecimali Analisi tramite strumenti Open Source Data recovery Capitolo 9 X-Ways Forensics Premessa Principali funzioni Il pacchetto X-Ways Forensics Conclusioni Capitolo 10 Linux forensics live distribution Premessa La situazione attuale Acquisizione Analisi Le distribuzioni Live Helix DEFT CAINE Capitolo 11 Metodologia di analisi generale Premessa Formare una squadra Rispetto totale per la prova Effettuare un accertamento che possa essere ripetibile...288

5 ix Agire in modo da documentare ogni azione eseguita Porre la controparte in condizione di replicare quanto fatto Cercare di trovare la soluzione più semplice Profiling Analisi Ottimizzare i tempi Cercare di osservare la situazione da un punto di vista diverso Non essere legati a uno specifico ambiente Sviluppare un software secondo necessità Garantire l inalterabilità dei risultati Invocare l articolo 360 c.p.p Capitolo 12 Analisi di un sistema Windows Premessa Vantaggi e svantaggi di Windows Inizio dell analisi Registry Thumbs.db Event viewer Dati applicazioni e Impostazioni locali File di swap Hiberfil.sys Caching delle password Principali programmi in dotazione Internet Explorer Outlook Express Windows LiveCD Data hiding Capitolo 13 Analisi di un sistema Mac OS X Premessa L idea di fondo Il sistema Particolarità del sistema Configurazioni Data hiding Capitolo 14 Analisi di un sistema Linux Premessa LSB (Linux Standard Base) Distribuzioni Il sistema Analisi Log Configurazione del sistema Home directory Swap...343

6 x Computer Forensics Var Condivisione dati Data hiding Capitolo 15 File di log Premessa File di log: acquisizione File di log: analisi Capitolo 16 Network Forensics Premessa Sistemi ad appannaggio delle forze dell ordine Intrusion Detection System Validazione dei dati Decodifica dei dati Wireshark in azione Xplico P2P Marshall Uno sguardo al futuro Capitolo 17 Media non convenzionali Premessa Apple ipod Sony PSP Dispositivi Archos Lettori mp3 e macchine fotografiche digitali Capitolo 18 Mobile Forensics Premessa Telefoni cellulari e crimini Componenti di un sistema mobile SIM Memory card Telefono Metodologia di analisi Ambiente Analisi Tool di analisi Ufed Cellebrite Oxygen Forensics Suite Capitolo 19 CD e DVD Premessa Formati e struttura dei supporti ottici Formati di un CD Struttura di un CD...403

7 xi Formati di un DVD Tipi di supporti DVD Struttura di un DVD Modalità di scrittura delle tracce DVD Masterizzazioni single session e multisession Multisession e analisi forense Packet writing File system File system: ISO 9660, UDF, HFS Visione logica di un CD e di un DVD Analisi multilivello Livello fisico: analisi visiva del supporto e verifica dell integrità fisica Livello fisico: identificazione del tipo di supporto Livello sessione e livello file system Un caso di studio reale Metodologia di copia e verifica di un supporto ottico Creazione di un file di immagine Disaster recovery di un supporto ottico Conclusioni Appendice A Limiti e ostacoli Premessa Crittografia Steganografia Data hiding Macchine virtuali Multimedia Appendice B Esempi di casi reali Premessa Casi Furto di un portatile Spionaggio industriale Cacciatore di teste Intercettazione su Skype Rivendicazione Estrazione file da un DAT FileVault Appendice C Associazioni e certificazioni Premessa IISFA Italian Chapter Formazione e convegni Centro di competenza Indice analitico...445