Università degli Studi di Genova Facoltà di Ingegneria Elettronica

Transcript

1 Università degli Studi di Genova Facoltà di Ingegneria Elettronica Analisi e Recupero Dati da Hard Disk in ambito Forense e studio delle metodologie con strumenti Hardware e Software Relatore: Chiar.mo Prof. Ing.Giancarlo Parodi Candidato: Carlo Piazza Correlatore: Chiar.mo Dott. Ing. Marco Raggio Anno Accademico 2009/2010

2 Indice Descrizione del problema Recupero Dati in ambito Forense Una Soluzione al Problema della Sovrascrittura Tecnica per il Recupero dei Dati Conclusioni e sviluppi futuri

3 Descrizione del problema Come Prevenire la Perdita dei Dati prevenire la perdita dei dati facendo un backup costante e periodico di tutto il disco. è bene creare due o tre partizioni sull Hard Disk e tenere il disco ben deframmentato.

4 Recupero Dati in ambito Forense Metodologia e Procedimento per il Recupero dei dati I Passi da seguire per l acquisizione dei dati da un Personal Computer sono questi: Metodo Operativo Sistema Operativo Software di Acquisizione dati Procedure di Validità della Copia Conservazione e Protezione della Copia Report

5 Metodo Operativo A) Avere in possesso il supporto da analizzare B) Acquisizione dell immagine del disco dal Computer sorgente

6 Sistema Operativo I Sistemi Operativi più conosciuti e utilizzati sono Windows e Linux Windows per il recupero dati a Livello Hardware e Software è il meno indicato Linux è indicato per il recupero a Livello Software

7 Software di Acquisizione Dati È importante in questi casi agire con metodo utilizzando una macchina la più potente possibile con: Microporcessore, Hard Disk, Ram e Monitor. Sistemi Operativi dedicati all acquisizione dei dati. Unità esterna con Interfaccia Usb molto più capiente di quella da analizzare! Write Blocker (Hardware e Software)

8 Windows utilizza programmi applicativi Freeware e Commerciali, con versioni Standalone, Portabl e Bootable (Live Cd), Si sconsiglia di utilizzare programmi installabili nei casi in cui il computer non può essere spento per cause tecniche (per esempio un server di rete). Linux (in Ubuntu o in Knoppix) ci sono comandi nativi che clonano il disco bit a bit in un file immagine. Per esigenze di rapidità, di praticità e utilizzo sono state sviluppate alcune distribuzioni Live di Linux, che consentono l avvio del computer da CD (Bootable) o da memoria USB esterna.

9 Procedure e Validità della Copia La copia a basso livello, deve essere bit a bit duplicando completamente il disco da cui si devono acquisire i dati. Il disco di destinazione deve essere sterile per non invalidare il recupero che si sta eseguendo. Per verificare la validità della copia una volta acquisita si utilizzano Funzioni di Hash, viene calcolato l hash originale e poi quello della copia i quali devono coincidere. Sia in ambiente Windows che in ambiente Linux, integrano al loro interno il calcolo ed il confronto degli hash.

10 Conservazione e Protezione della Copia I dati acquisiti devono essere verificati con quelli originali e protetti nel modo più idoneo possibile. Si dovrà garantire integrità è riservatezza dei dati per un periodo di tempo lungo per soddisfare ciò è necessario implementare un accurata Policy di Data Management. Si deve inoltre garantire una accurata documentazione scrivendo un Report dettagliato.

11 Report È un documento che contiene le informazioni di tutto ciò che è stato fatto prima e dopo l acquisizione dei dati con annessa una Tabella riassuntiva.

12 In questa metodologia è molto importante: l Integrità, la Salvaguardia e la Riservatezza dei dati, presenti sui supporti di archiviazione. Durante l analisi per garantire e provare l inalterabilità e l esatta corrispondenza dei contenuti, utilizziamo strumenti Hardware e Software che inibiscono qualsiasi tipo di scrittura. Algoritmi di Hash, come l MD5 o l SHA-1, che generano chiavi di identificazione di ciascun file o dell intero contenuto del dispositivo, permettendo di verificarne l integrità in qualsiasi momento.

13 Una soluzione al Problema della Sovrascrittura Che cosa è un Write Blocker? è un dispositivo che viene utilizzato per bloccare eventuali scritture in questo caso su un disco fisso. Ci sono due tipi di Write Blocker: Native è usato per collegare il disco attraverso la sua interfaccia nativa (esempio: disco IDE su interfaccia IDE o disco SCSI su interfaccia SCSI). Tailgate è usato invece per collegare il disco attraverso una interfaccia diversa (esempio: disco IDE tramite USB o disco SATA tramite FireWire). (Necessitano di una fonte di alimentazione e vengono forniti con cavi di collegamento).

14 Esistono due differenti metodologie per garantire il Write Blocking: Write blocker software non richiede l acquisto di particolari dispositivi, quindi Economico, però conviene testare costantemente la validità di questa metodologia. Write blocker hardware un dispositivo flessibile, facilmente trasportabile e semplice da utilizzare. Sono anche dotati di tastiera, mouse e monitor, inoltre devono avere un processore veloce, una elevata quantità di memoria Ram e di spazio nel disco.

15 Il Write Blocker è utilizzato nel campo dell Informatica Forense, per prevenire il furto di dati, lo spionaggio industriale, l accesso abusivo ai sistemi informatici aziendali, i danneggiamenti informatici e rispondere a tutte le potenziali controversie legali. Chi si occupa di tutto ciò? Il Forenser (abbreviazione di Computer Forenser) figura Professionale che presta la sua opera nell ambito dei Reati Informatici o del Computer Crime.

16 Write Blocking (Fig. 1.0) È composto da: cavi, adattatori, e buste isolanti per il trasporto degli Hard Disk, che consente di operare con il maggior numero possibile di interfacce e dispositivi differenti. Kit di Write Blocking (Fig. 1.0)

17 Tecniche per il Recupero dei Dati I passi operativi per un ottimale recupero da qualsiasi Supporto in Ambiente Windows e Linux. Per incominciare è necessario avere: Un Computer con Sistema Operativo Windows (XP SP3 Pro O superiore), o Sistema Operativo Linux, con almeno 4 porte USB 2.0 o superiore. Un Hard Disk con interfaccia IDE o SATA da cui recuperare I dati. Un Hard Disk esterno (da 2Tb o superiore) o box con interfaccia USB 2.0 o superiore per salvare i dati o l immagine.

18 Un Software M2CFG Write Blocker (Freeware). Un Software FTK Imager (Freeware) e Mount Image Pro (Commerciale) Un Software GetdataBack for NTFS (Commerciale) e Recuva (Freeware) Un Software Password Recovery Kit Forensic (Commerciale) e Cain & Abel (Freeware) Un Adattatore IDE/SATA USB convertitore cavo S-SATA bridge (dispositivo che permette di collegare qualsiasi periferica IDE, ATA e SATA alla Porta USB 2.0 del Computer).

19 Conclusioni e Sviluppi Futuri Oggi il panorama dello Storage è imperniato su 3 differenti tecnologie: il tradizionale Hard Disk Drive: IDE Standard ATA è stato sostituito da una nuova versione di tipo EIDE standard Serial ATA (una evoluzione, nelle caratteristiche esterne e nella capacità d immagazzinamento d informazioni dei dati) Il nuovo Solid State Disk: È un dispositivo che utilizza una particolare memoria Flash di tipo Nand per l archiviazione dei dati.

20 il neonato Hybrid Hard Drive: la tecnologia dei dischi tradizionali EIDE standard Serial ATA con quello dell unità a stato solido (offre delle prestazioni come quelle della memoria flash e dei dischi magneto-ottici tradizionali). A questo punto non ci resta che attendere gli sviluppi per vedere se ci sarà realmente una svolta generazionale per quanto riguarda i neonati H-HDD, o se la convergenza verso i dischi SSD sarà totale.