Trattamento del reperto informatico. Acquisizione. Acquisizione. Trattamento del reperto informatico Acquisizione

Transcript

1 Modalità operative per l acquisizione di un hard disk Deve essere completa Mentre nei Tribunali si vedono acquisizioni di: stampa di un file eo delle proprietà di documento Word stampa di una pagina web o (bene che vada ) file generato dalla funzione Salva del browser fax composto di tre frammenti delle istruzioni di un programma demone che a detta del PM è malvagio (proprio perché è un demone ) Michele Ferrazzano michele.ferrazzano@unibo.it Bit streamimage: copia bit a bitdi un supporto originale Un copia e incolla NON èuna copia forense Un drag&drop NON èuna copia forense Perché? Una copia forense include anche lo spazio non allocato File cancellati Slack space Spazio libero Alterazione dei dati temporali Deve essere accurata Non ènecessario acquisire l intero personal computer, ma solo tutti i singoli bit registrati in esso Va impedita qualsiasi forma di contaminazione in fase di acquisizione durante la conservazione (archiviazione) Va garantita la catena di custodia Utilizzare direttamente la macchina oggetto di indagine solo quando ènecessario acquisire dati dalla RAM, quindi spegnere immediatamente Utilizzare write block Scrivere su dischi di destinazione vergini (wiped) Utilizzare Windows solo con protezioni (writeblock) oppure fare uso di ForensicCD Utilizzare hardware dedicato alla copia

2 Va accuratamente documentato il processo di acquisizione Strumenti utilizzati, metodologie Per dare garanzia del rispetto dei principi esaminati, tutte le operazioni eseguite in fase di acquisizione vanno accuratamente documentante Meglio utilizzando dispositivi che registrano le operazioni eseguite Computer acceso Fotografia dello schermo live Spegnimento computer Unpluggingo shutdown? Computer spento post mortem live post-mortem Alcune verifiche: Ora di sistema Cifratura Registri Processi in esecuzione Connessioni attive Porte aperte della memoria RAM (dump) Copia bit-stream(clone) Copia esatta bit per bit da un supporto (originario) ad un altro supporto Diversa da una copia di backup Una copia di backup include solo alcuni file, tralascia file cancellati e frammenti Immagine bit-stream(immagine, immagineforense, copia forense) File (o insieme di file) che rappresentano il supporto originario bit per bit post-mortem post-mortem Supporto originario Supporto destinazione Supporto originario e destinazione diventano entrambi originali e indistinguibili

3 post-mortem post-mortem Master (sigillato) Creazione di una bit-stream image Congelare il contenuto del supporto calcolandone il digest(impronta matematica) con un programma di hashing Eseguire piùdi una copia integrale, bit per bit, del supporto su un altro dispositivo di memorizzazione Copie di riserva Eventuale dissequestro dei supporti (diritto di terzi) Copie per la difesa e le altre parti del processuali (diritto di difesa) Copia lavoro Applicazione di sigillo elettronico - Hash L'algoritmo di hashelabora una qualunque mole di bit e restituisce in output una stringa di bit di dimensione fissa. L'output è detto digest La stringa di output èunivoca per ogni documento e ne è un identificatore L'algoritmo non èinvertibile, ossia non èpossibile ricostruire il documento originale a partire dalla stringa che viene restituita in output In realtà, per ogni digest, esistono infiniti input che lo generano (collisioni)! DPCM febbraio : l'impronta di una sequenza di simboli binari èuna sequenza di simboli binari di lunghezza predefinita generata mediante l'applicazione alla prima di un'opportuna funzione di hash

4 - Marca temporale - Catena di custodia Single-evidence form Un documento per ogni reperto informatico Multi-evidence form Un documento per tutti i reperti informatici di uno stesso caso Identifica i soggetti che hanno in custodia i reperti digitali Consente la conoscenza della continuitàdella custodia Prova l integritàdella gestione dei reperti raccolti Data e ora del sequestro Luogo e persone da cui si è prelevato Fabbricazione, modello e numero di serie Nome delle persone che hanno raccolto il reperto Descrizione del reperto Nome e firma delle persone che ricevono i reperti Numerazione e classificazione interna del reperto Valori del digest Dati tecnici pertinenti - Catena di custodia - Catena di custodia Dispositivi di memorizzazione Perché l acquisizione? La memorizzazione nei dispositivi digitali avviene a diversi livelli Livello fisico Magnetizzazione, incisioni Livello logico Organizzazione di dati in partizioni, tracce e settori Le modalitàcon cui un dispositivo gestisce i dati a livello logico ha implicazioni dirette su qualunque analisi forense I diversi file system utilizzano lo spazio sui dispositivi di memorizzazione in maniera dissimile l uno dall altro; servono dunque tecniche di analisi diverse per esaminare i dati memorizzati da essi Nei diversi file system i dati non sono necessariamente memorizzati in posizioni continue ma sono frammentati su piùdispositivi, in blocchi che sono logicamente associati tra loro tramite informazioni di indirizzamento

5 Cancellazione dei dati File system: allocazione dei file La cancellazione di dati dai supporti digitali può presentarsi in forme diverse I file che sono cancellati vengono rinominati in un altra directory Es.: Cestino Viene modificata l informazione relativa all occupazione di un insieme di settori che compongono il file Vengono sovrascritti i settori nei quali il file è memorizzato I dati rimangono sul supporto e sono recuperabili (totalmente? parzialmente?) fintanto che non siano completamente sovrascritti Wiping La rappresentazione fisica residua dei dati cancellati viene detta permanenza dei dati ed èuna delle cause del problema della viscosità Promessi sposi.txt Il Cinque Maggio.txt Quel ramo del lago di Como che volge a mno Quel ram o del la go di Co mo che v olge a m File system: cancellazione di un file File system: salvataggio di un nuovo file Promessi sposi.txt Il Cinque Maggio.txt Quel ram o del la go di Co mo che v olge a m Divina commedia.txt Il Cinque Maggio.txt Nel mezzo del cammin di nostra vita Nel mezz o del ca mmin di nostra v itax a m