Volatilità e fragilità

Le prove digitali non aspettano. La memoria si svuota quando viene meno l'alimentazione, i log si sovrascrivono, i telefoni ricevono messaggi e comandi di cancellazione remota e le unità a stato solido eliminano autonomamente i dati cancellati. Anche l'esaminatore modifica un sistema nel momento stesso in cui vi interviene. Le prime decisioni in qualsiasi caso riguardano quindi il tempo: che cosa scomparirà per primo e che cosa preservare prima che ciò accada. Le modalità di sequestro dei dispositivi sono trattate nel Modulo 3 e quelle di creazione delle copie nel Modulo 4.

Volatile e fragile non sono sinonimi

• I dati volatili scompaiono quando un dispositivo perde l'alimentazione o un processo termina: il contenuto della memoria (RAM), i processi in esecuzione, le connessioni di rete aperte, le chiavi di cifratura mantenute mentre un disco è sbloccato.
• I dati fragili sopravvivono a un'interruzione dell'alimentazione, ma cambiano facilmente: file, log e marcature temporali che vengono alterati dall'uso normale, dalla manutenzione automatica o da una gestione poco accorta.

Entrambi portano alla stessa regola: stabilire tempestivamente che cosa potrebbe andare perduto, preservarlo secondo un ordine ragionato e documentare che cosa è stato fatto e perché.

L'ordine di volatilità

La RFC 3227, "Linee guida per la raccolta e l'archiviazione delle prove", pubblicata nel 2002, propone di raccogliere le prove dalle più volatili alle meno volatili. L'ordine che indica rimane il riferimento standard:

1. Registri e cache
2. Tabella di routing, cache ARP, tabella dei processi, statistiche del kernel e memoria
3. File system temporanei
4. Disco
5. Dati di registrazione e monitoraggio remoti pertinenti al sistema
6. Configurazione fisica e topologia di rete
7. Supporti di archiviazione

Nella pratica, registri e cache non possono essere acquisiti separatamente; ciò che gli esaminatori possono preservare è il contenuto della memoria e lo stato del sistema in esecuzione riportato dal sistema operativo, come i processi in esecuzione e le connessioni di rete. È il principio che conta: se due fonti sono a rischio, iniziare da quella che scomparirà per prima.

Che cosa modifica le prove digitali

Le marcature temporali meritano una menzione particolare. Aprire un file, esplorare una cartella o semplicemente avviare un sistema operativo può aggiornare le marcature temporali e le registrazioni di sistema. Su Windows, ad esempio, collegare un dispositivo USB per esaminarlo crea nuove voci nel registro di sistema e nei log di installazione. I dati sul dispositivo originale devono essere esaminati tramite copie verificate, non esplorando direttamente il dispositivo.

Ogni azione lascia una traccia

Un principio attribuito al criminologo Edmond Locard afferma che ogni contatto lascia una traccia. Si applica anche agli esaminatori. L'esecuzione di uno strumento di acquisizione della memoria carica lo strumento stesso nella memoria che si sta acquisendo; il collegamento di un dispositivo di archiviazione scrive registrazioni che lo riguardano; la digitazione di comandi su un sistema in esecuzione crea nuovi processi. Queste modifiche non possono sempre essere evitate. A renderle accettabili è il fatto che siano ridotte al minimo, scelte consapevolmente e documentate, affinché chiunque possa distinguere le tracce dell'esaminatore da quelle dell'utente.

Alimentazione, cifratura e connettività

Tre domande orientano i primi minuti di intervento su qualsiasi dispositivo.

È acceso o spento?

Un dispositivo trovato spento viene normalmente lasciato spento: accenderlo avvia il sistema operativo, che modifica i dati. Un dispositivo trovato in esecuzione contiene dati volatili che potrebbero essere preziosi e occorre decidere se preservarli prima di interrompere l'alimentazione.

I dati sono cifrati?

La cifratura dell'intero disco, come BitLocker su Windows, FileVault su macOS o LUKS su Linux, protegge i dati a riposo. Mentre il sistema è in esecuzione e sbloccato, i dati sono leggibili e le chiavi potrebbero trovarsi in memoria. Spegnere il sistema può rendere i dati illeggibili senza la password o la chiave di ripristino. Riconoscere la presenza di cifratura su un sistema in esecuzione è quindi una delle osservazioni iniziali più importanti.

È connesso?

Telefoni, computer portatili e cartelle sincronizzate con il cloud continuano a cambiare mentre sono connessi. Una cancellazione remota, un nuovo messaggio o una sincronizzazione possono alterare o distruggere le prove. Isolare il dispositivo dalle reti mobili, dal Wi-Fi e dal Bluetooth, ad esempio mediante la modalità aereo o una custodia schermata contro le radiofrequenze, arresta queste modifiche, ma ogni metodo presenta effetti collaterali che sono trattati nel Modulo 3.

La volatilità oltre il dispositivo

Alcune delle prove più preziose non si trovano mai sul dispositivo che si ha davanti.

• Il traffico di rete esiste solo mentre transita. A meno che qualcuno non lo stesse già acquisendo, ciò che rimane sono le registrazioni che lo riguardano: log di firewall, proxy e DNS, registrazioni dei flussi e connessioni elencate su un sistema in esecuzione.
• I log su server e servizi online vengono conservati per un periodo limitato. I periodi di conservazione variano da giorni a mesi e dipendono dal fornitore, dal piano di servizio e dalle impostazioni dell'organizzazione stessa.
• I dati condivisi e sincronizzati possono essere modificati da qualsiasi luogo. Un file eliminato su un dispositivo può scomparire dal cloud e da ogni altro dispositivo collegato all'account.

Per queste fonti, il primo passo è spesso una richiesta anziché l'uso di uno strumento: chiedere al proprietario del sistema o al fornitore del servizio di preservare le registrazioni pertinenti prima della scadenza del periodo di conservazione e documentare quando e come è stata effettuata la richiesta. Le organizzazioni che pianificano in anticipo, conservando i log in modo centralizzato e per un periodo sufficientemente lungo, rendono molto più agevoli le indagini successive.

Raramente esiste una scelta perfetta

La volatilità impone compromessi. Acquisire la memoria modifica in piccola parte il sistema, ma salva ciò che altrimenti andrebbe perduto; scollegare l'alimentazione preserva il disco esattamente com'è, ma comporta la perdita della memoria e può bloccare un volume cifrato. Non esiste un'unica risposta corretta per ogni caso. La ISO/IEC 27037 richiede la giustificabilità: la decisione deve poter essere spiegata come l'opzione migliore nelle circostanze, considerando l'obiettivo dell'indagine, i rischi e l'autorizzazione. Annotare le ragioni al momento della decisione è ciò che trasforma una valutazione discrezionale in una scelta difendibile.

Focus sull'esame: Molte domande vertono sulla differenza tra dati volatili e fragili, sull'ordine di volatilità della RFC 3227 (memoria prima del disco, disco prima dei log remoti e dei supporti di archiviazione) e sul motivo per cui TRIM e garbage collection degli SSD, rotazione dei log e cancellazione remota minacciano le prove. Sono previste domande basate su scenari relativi a sistemi cifrati in esecuzione, all'isolamento dei telefoni dalle reti e al motivo per cui gli esaminatori devono ridurre al minimo e documentare le modifiche che causano.