Acquisizione e integrità · Lezione 3 di 3
Immagini forensi e blocco della scrittura
8 min di lettura
La creazione dell'immagine di un'unità è un'attività di routine, ed è proprio nella routine che si nascondono gli errori: un formato errato, un dispositivo di blocco in scrittura mai testato, un settore danneggiato che nessuno ha annotato. Di seguito vengono trattati i formati in uso, i dispositivi di blocco in scrittura, i test degli strumenti, un flusso di lavoro passo dopo passo e i problemi più frequenti. La conservazione sicura delle immagini è trattata nel Modulo 5.
Formati delle immagini
Un'immagine forense è un file, o un insieme di file, contenente una copia bit per bit di una sorgente.
Raw (dd)
Un'immagine raw, spesso chiamata immagine dd dal comando Unix dd comunemente usato per crearla, contiene esattamente i byte della sorgente e nient'altro. Quasi tutti gli strumenti possono leggerla ed è possibile suddividerla in segmenti numerati (.001, .002). In assenza di un'intestazione, i dettagli del caso e i valori hash vengono conservati separatamente, nei registri e nelle annotazioni.
Expert Witness Format (E01)
L'Expert Witness Format (EWF), noto con l'estensione di file E01, è nato da uno strumento forense commerciale ed è ora supportato dalla maggior parte dei software forensi. Un'immagine E01 memorizza i dati della sorgente, eventualmente compressi, insieme ai metadati del caso, come il numero del caso, l'esaminatore e la descrizione, alle somme di controllo per ciascun blocco di dati, utili a individuare eventuali corruzioni, e a un hash dei dati acquisiti. Le immagini di grandi dimensioni vengono suddivise in segmenti denominati .E01, .E02 e così via.
L'hash memorizzato in un E01 è l'hash dei dati della sorgente, non del file .E01. Calcolare l'hash del file .E01 stesso con un'utilità generica produce un valore diverso: è un risultato previsto e non indica una manomissione. Gli strumenti verificano un E01 leggendo i dati dal contenitore e confrontandone l'hash con il valore memorizzato.
AFF4
AFF4 (Advanced Forensic Format 4) è un formato aperto progettato per immagini di dimensioni molto grandi, che può contenere più flussi di dati, come un'immagine disco e un'immagine della memoria, insieme ai rispettivi metadati in un unico contenitore.
| Formato | Punti di forza | Limiti |
|---|---|---|
| Raw (dd) | Byte esatti, semplice, leggibile da quasi tutti gli strumenti | Nessun metadato o hash incorporato; nessuna compressione |
| E01 (EWF) | Compressione, metadati del caso, hash incorporato, somme di controllo dei blocchi, segmenti | I dati devono essere letti tramite software che supporti il formato |
| AFF4 | Specifica aperta, immagini di dimensioni molto grandi, più flussi in un unico contenitore | Supportato da meno strumenti rispetto a raw ed E01 |
Dispositivi di blocco in scrittura
Un dispositivo di blocco in scrittura (write blocker) consente a un esaminatore di leggere un dispositivo di archiviazione impedendo qualsiasi scrittura su di esso. In sua assenza, il semplice collegamento di un'unità a un computer può modificarla: i sistemi operativi possono montarne i volumi, rieseguire i journal del file system o crearvi file di sistema.
- I dispositivi hardware di blocco in scrittura si collocano fisicamente tra l'unità sorgente e la postazione di lavoro forense. Inoltrano all'unità i comandi di lettura e bloccano quelli di scrittura, indipendentemente dal sistema operativo della postazione. Esistono modelli per interfacce comuni come SATA, SAS, NVMe e USB.
- I sistemi software di blocco in scrittura operano all'interno del sistema operativo, come driver o impostazione che rifiuta le scritture su dispositivi selezionati, oppure come ambiente di avvio forense che non monta mai le unità in scrittura. Hanno costi contenuti, ma dipendono dal fatto che il sistema operativo e la sua configurazione si comportino esattamente come previsto.
Un dispositivo di blocco in scrittura controlla i comandi provenienti dal computer. Non controlla ciò che avviene all'interno dell'unità: il controller di un SSD può continuare a cancellare i blocchi contrassegnati da TRIM (Modulo 1) finché riceve alimentazione, e le unità aggiornano contatori interni come le ore di accensione. Un dispositivo di blocco in scrittura protegge inoltre soltanto il dispositivo collegato attraverso di esso, e un semplice adattatore da USB a SATA non è un dispositivo di blocco in scrittura, per quanto possa assomigliargli.
Test degli strumenti e validazione della configurazione
Gli esaminatori devono poter dimostrare che il dispositivo di blocco in scrittura e lo strumento di creazione delle immagini si comportano come dichiarato. Due tipi di riscontri supportano questa dimostrazione.
- Test indipendenti: il programma Computer Forensics Tool Testing (CFTT) del NIST pubblica specifiche per categorie di strumenti, tra cui dispositivi hardware e sistemi software di blocco in scrittura e strumenti di creazione delle immagini disco, nonché rapporti di prova per prodotti e versioni specifici, comprese le eventuali anomalie rilevate.
- Validazione propria: la norma ISO/IEC 27041 prevede che metodi e strumenti siano validati per l'uso previsto. Una verifica semplice consiste nel calcolare l'hash di un'unità di prova, collegarla tramite il dispositivo di blocco in scrittura, tentare di montarla e di scrivervi, quindi calcolarne nuovamente l'hash; i valori devono coincidere. Ripetere la verifica dopo gli aggiornamenti del firmware o del software e conservarne la documentazione. Anche SWGDE pubblica linee guida sui test di validazione.
Un rapporto CFTT relativo a una versione diversa del firmware, o una validazione eseguita anni prima su altro hardware, costituisce un riscontro meno solido rispetto a una verifica recente della configurazione esatta utilizzata.
Il flusso di lavoro per la creazione delle immagini
- Documentare la sorgente. Fotografare l'unità e la sua etichetta; registrare marca, modello, numero di serie, capacità, interfaccia e dispositivo di provenienza.
- Preparare la destinazione. Utilizzare supporti nuovi o sottoposti a cancellazione forense, con spazio sufficiente e verificati prima dell'uso, affinché i dati preesistenti non possano essere scambiati per prove. Registrare anche i relativi dati identificativi.
- Collegare tramite il dispositivo di blocco in scrittura. Collegare la sorgente al dispositivo di blocco in scrittura e quest'ultimo alla postazione di lavoro, seguendo le istruzioni del dispositivo per l'alimentazione dell'unità.
- Verificare il blocco. Confermare che il dispositivo indichi la protezione da scrittura e che la postazione rilevi l'unità come di sola lettura; verificare che la capacità riportata sia quella prevista.
- Creare l'immagine. Scegliere formato, dimensione dei segmenti, compressione e algoritmi di hash, inserire i dettagli del caso e creare l'immagine dell'intero dispositivo.
- Calcolare l'hash e verificare. Registrare l'hash di acquisizione, quindi verificare l'immagine e confrontare i valori.
- Registrare. Conservare il registro dello strumento; annotare lo strumento e la versione, gli orari di inizio e fine, gli errori e i valori hash finali; aggiornare la catena di custodia (Modulo 5).
Esempi di strumenti
Il metodo conta più del prodotto. Tra gli esempi gratuiti figurano FTK Imager (uno strumento gratuito per Windows offerto da un fornitore commerciale), Guymager (uno strumento open source per Linux con interfaccia grafica), ewfacquire (parte della libreria open source libewf, che crea immagini E01) e dc3dd (una versione di dd adattata all'uso forense, che calcola gli hash durante la copia e registra gli errori). Registrare il nome e la versione dello strumento.
Problemi comuni
- Settori danneggiati. Gli strumenti di creazione delle immagini ritentano la lettura delle aree danneggiate, quindi di norma riempiono di zeri i settori illeggibili e ne registrano la posizione. Un hash della sorgente calcolato successivamente può risultare diverso. Riportare quanti settori non è stato possibile leggere.
- Aree nascoste. Host Protected Area (HPA) e Device Configuration Overlay (DCO) sono funzionalità delle unità ATA che possono rendere una parte del disco invisibile al sistema operativo. Confrontare la capacità nativa dell'unità con quella riportata; l'accesso a un'area nascosta può richiedere una modifica della configurazione dell'unità, che deve essere documentata.
- Unità cifrate. Un'immagine fisica di un'unità cifrata è valida, ma illeggibile senza la password o la chiave di ripristino. Cercare le chiavi prima dello spegnimento (Lezione 4.1), registrare eventuali chiavi di ripristino fornite previa autorizzazione e valutare un'immagine logica del volume sbloccato su un sistema in esecuzione. Le unità autocifranti eseguono la cifratura a livello hardware; quando è impostata una password, si bloccano alla perdita dell'alimentazione e non forniscono dati utente leggibili senza di essa.
- Supporti di archiviazione non rimovibili. In molti portatili attuali il supporto di archiviazione è saldato alla scheda madre e cifrato dall'hardware, quindi è impossibile rimuovere l'unità per creare un'immagine a sistema spento. Gli esaminatori si affidano quindi alle interfacce del dispositivo stesso, a modalità di avvio speciali oppure all'acquisizione a sistema acceso e all'acquisizione logica.
Focus sull'esame: Confrontare le immagini raw (dd), E01 e AFF4 e ricordare che l'hash memorizzato in un E01 riguarda i dati acquisiti, non il file contenitore. Distinguere i dispositivi hardware dai sistemi software di blocco in scrittura e conoscerne i limiti, in particolare la garbage collection degli SSD. Conoscere il ruolo del NIST CFTT e della propria validazione secondo ISO/IEC 27041, le fasi del flusso di lavoro per la creazione delle immagini nel loro ordine e le modalità di gestione dei settori danneggiati, di HPA e DCO e delle unità cifrate.