Investigare nel personal computer: le best pratices di digital forensics e la registrazione sonora e visiva degli eventi

Transcript

1 SEMINARIO CORSO DI INFORMATICA GIURIDICA PROF. GIOVANNI ZICCARDI A.A Investigare nel personal computer: le best pratices di digital forensics e la registrazione sonora e visiva degli eventi Dott. Alessandro Rodolfi 15 Maggio

2 #1 Introduzione #2 Caso Garlasco: cosa non bisogna fare sui reperti informatici #3 Le best pratices #4 Esempio reale di acquisizione PC e analisi della navigazione #5 Esempio reale di acquisizione sito web con cattura audio-video 2

3 Investigare nel PC: best pratices Ricerca della prova tra i dati contenuti in un elaboratore elettronico Adozione di protocolli, metodi, e procedure investigative accettabili in giudizio Indagine su un crimine informatico commesso verso e/o mediante un computer o su un elaboratore elettronico che potrebbe contenere dati importanti per l accertamento di un reato 3

4 Campo di applicazione Attività di spionaggio industriale Botnet e network forensics Frodi informatiche, truffe e phishing Pedopornografia Fiscale e commerciale (es. Forensics Accounting) Diritto di famiglia, diffamazione on-line, stalking,... Ma... non appare pertanto peregrina l'affermazione o, meglio, la previsione, che nel prossimo futuro qualsiasi fonte di prova sarà 'digitale' in quanto il processo di informatizzazione e digitalizzazione della nostra società condizionerà direttamente il mondo giuridico, e soprattutto, il suo aspetto processuale (Prof. Ziccardi) 4

5 Caso Garlasco: cosa non bisogna fare sui reperti informatici 5

6 Caso Garlasco #1 E qui affrontiamo uno dei capitoli più critici dell intero procedimento. In data 14 agosto 2007 Stasi Alberto consegnava spontaneamente alla polizia giudiziaria il proprio computer portatile (marca Compaq ). Da quel momento fino al 29 agosto 2007, quando il reperto informatico veniva consegnato ai consulenti tecnici del pubblico ministero che procedevano all effettuazione delle copie forensi dello stesso, i carabinieri accedevano ripetutamente e scorrettamente (senza l utilizzo, cioè delle necessarie tecniche forensi di indagine) alla quasi totalità del contenuto del computer 6

7 Caso Garlasco #2 sette (e non cinque come riferito) accessi al personal computer di Alberto Stasi; non corretta indicazione dell avvenuta installazione ed utilizzo di diverse periferiche USB (oltre a quella correttamente indicata); non corretta indicazione dell avvenuto accesso al disco esterno in uso ad Alberto Stasi; non corretta indicazione di accessi multipli al file della tesi di laurea in vari percorsi di memorizzazione dello stesso 7

8 Caso Garlasco #3 Il documento informatico è connotato da un intrinseca caratteristica di fragilità: nel senso che le tracce elettroniche sono facilmente alterabili, danneggiabili e cancellabili. Per questa ragione, può essere arduo (e ciò anche a prescindere da ipotetiche manipolazioni dolose ma perfino da eventuali comportamenti colposi posti in essere da chi interviene su di esso) conservare un documento informatico inalterato, in modo da assicurare che la prova sia autentica e genuina. Di qui la necessità di adottare particolari cautele, quali l adozione di copie di hard disk conformi all originale, che vengono rese non modificabili mediante appositi procedimenti tecnici 8

9 Caso Garlasco #4 Ciò posto, non vi è alcun dubbio, tuttavia, che le condotte poste in essere sul computer da parte della polizia giudiziaria, sebbene superficiali, dovessero, proprio per la intrinseca fragilità del contenuto del documento informatico di cui sopra, essere eventualmente svolte (se proprio necessario) con l assistenza di ausiliari tecnici che avrebbero messo in atto le necessarie preventive cautele tecniche atte ad assicurarne la conservazione e ad impedirne l alterazione e l accesso provvedendo, ove possibile, alla loro immediata duplicazione su adeguati supporti, mediante una procedura che assicurasse la conformità della copia all originale e la sua immodificabilità 9

10 Le Best Pratices Si intende per best practice un comportamento, non necessariamente formalizzato in documenti, codici o manuali, che viene considerato dalla comunità scientifica e dagli operatori come un modo corretto, a volte il più corretto, per svolgere determinate operazioni tecniche 10

11 Alcuni esempi Linee guida ACPO Eoghan Casey Sun Microsystems Marco Mattiucci ISO

12 Scena Criminis Isolare la scena del crimine Individuare tutti gli elementi utili alle indagini Garantire l integrità probatoria durante l acquisizione Documentare i luoghi (filmati, fotografie), catalogare e etichettare il materiale Preservare le prove per eventuali successive analisi in laboratorio 12

13 Ricerca della prova Hardware (server, PC workstation, PC portatili, smartphone,fotocamere digitali, stampanti e scanner di rete, Console videogiochi, Videoregistratori, Smart TV ecc.) Software (es. utilizzo di software non comuni) Media removibili (dischi esterni, USB, backup online, attenzione all anti-forenscis) Documentazione correlata Ricerca di password, numeri telefonici, info sugli account Spazzatura per stampe e altre prove Ulteriori tracce digitali 13

14 Prime operazioni Scollegare dal computer i cavi di rete Fotografare il contenuto dello schermo del computer Se il computer è acceso sarebbe opportuno salvare i dati delle applicazioni aperte e preservare il contenuto della RAM Spegnere il computer se necessario togliendo il cavo di alimentazione (unplagged) Calcolare gli hash di tutti i dischi prima di copiare i dati Etichettare, datare e siglare ogni prova Utilizzare buste o contenitori sigillati e riporli in luogo sicuro 14

15 Sequestro Etichettare cavi e porte Sigillare il materiale con nastro apposito Impacchettare con molta cura per preservare i reperti da sporcizia, freddo, caldo, umidità, elettricità statica 15

16 Acquisizione e custodia Togliere l alimentazione staccando i cavi Prestare cautela se viene fatto il boot del computer che contiene la prova Annotare le date e gli orari sia correnti che del computer Fare almeno due copie delle fonti di prova su dischi vuoti (bitstream image copy) Verificare dimensioni e integrità dei dati (partizioni nascoste) Etichettare, datare e siglare ogni fonte di prova Inventariare tutti i dischi e i loro contenuti e stilare un report completo 16

17 Strumentazione 17

18 Esempio reale di acquisizione PC e analisi della navigazione 18

19 Acquisizione PC #1 PC acceso con utente loggato Spegnimento tramite unplugging e non con la procedura di spegnimento del S.O. Smontaggio Hard Disk Documentazione fotografica Verbale presa in carico reperti Applicazione della firma digitale e della marca temporale 19

20 Acquisizione PC #2 20

21 Analisi forense navigazione #1 21

22 Analisi forense navigazione #2 22

23 Analisi forense navigazione #3 23

24 Analisi forense navigazione #4 24

25 Analisi forense navigazione #5 25

26 Analisi forense navigazione #6 26

27 27

28 Esempio reale di acquisizione sito web con cattura audiovideo 28

29 Acquisizione sito web: registrazioni video+traffico Le diverse fasi sono state documentate sia videoregistrando lo schermo al fine di permettere la completa comprensione di quanto compiuto dal consulente tecnico, che analizzando il traffico a basso livello generato dalle richieste di download delle pagine web e dei loro rispettivi contenuti,. L attività è stata condotta in data XX/XX/2013 a partire dalle alle ore 12:00 circa, presso il laboratorio di analisi forense di DataConSec in Parma 29

30 1 - HTTrack E un applicazione open source utilizzata per il mirroring dei siti web su supporto locale per consentire la navigazione offline. Può essere definito come un copiatore di siti web in grado di salvare il contenuto prodotto su supporti locali. E stato utilizzato per effettuare una copia locale navigabile del sito web 30

31 Fonte: 31

32 2 - Tcpdump Tcpdump è un software open source di acquisizione del traffico di rete. Per le finalità di acquisizione è stato utilizzato per salvare tutto il traffico dati generato dall attività di copia e salvataggio del sito web con HTTrack 32

33 Fonte: 33

34 3 - recordmydesktop recordmydesktop è un software open source in grado di registrare quanto visualizzato sullo schermo ed è stato utilizzato per produrre una traccia video delle operazioni compiute da HTTrack e tcpdump 34

35 Fonte: 35

36 Riepilogo fasi di acquisizione 36

37 I Captatori Informatici... Trojan Querela 37

38 38