Il processo forense

L'informatica forense segue un processo. Standard e manuali diversi lo rappresentano con schemi differenti, ma concordano sugli elementi essenziali: individuare le prove, preservarle, copiarle in modo verificabile, esaminarle, interpretarne il significato e riportare i risultati in modo che altri possano verificarli.

Un processo, diverse descrizioni

Si incontreranno diversi modelli. Descrivono lo stesso lavoro a diversi livelli di dettaglio.

Questo corso utilizza sei fasi che combinano questi riferimenti. Sapere come corrispondono tra loro aiuta a leggere qualsiasi procedura, indipendentemente dal modello seguito.

Prima della prima fase: preparazione

Le indagini efficaci iniziano prima che accada qualsiasi cosa. La preparazione, che ISO/IEC 27043 tratta come prontezza operativa, comprende personale formato, strumenti validati, supporti di memorizzazione puliti, moduli per le annotazioni e la catena di custodia, e procedure concordate. Per un'organizzazione significa anche conservare, per un tempo sufficiente, i log e le registrazioni di cui un'indagine avrà bisogno, e sapere chi può autorizzare un esame. Un gruppo che deve improvvisare questi elementi al momento perde tempo e commette errori evitabili.

Le domande guidano il processo

Ogni esame risponde a domande specifiche, che orientano ogni fase. "Questo account ha copiato l'elenco dei clienti su supporti rimovibili tra l'1 e il 15 marzo?" indica all'esaminatore quali dispositivi identificare, quali dati acquisire, quali artefatti esaminare e a quali domande debba rispondere la relazione. Una richiesta vaga, come "controllare il portatile", dovrebbe essere trasformata in domande precise insieme alla persona che ha richiesto l'esame, prima di iniziare il lavoro. Domande chiare consentono inoltre di mantenere il lavoro entro l'ambito previsto e rendono più facile stabilire quando l'esame è concluso.

Le sei fasi

Raccolta o acquisizione?

ISO/IEC 27037 distingue due concetti che è facile confondere. La raccolta consiste nel prelevare i reperti fisici che possono contenere prove digitali, ad esempio prendendo in custodia un portatile. L'acquisizione consiste nel creare una copia dei dati, ad esempio un'immagine forense dell'unità del portatile. Talvolta è possibile soltanto l'acquisizione: i dati di un server aziendale che deve restare operativo, o quelli detenuti da un fornitore di servizi cloud, vengono copiati, senza prelevare fisicamente il sistema che li contiene. Il Modulo 3 tratta il sequestro e il Modulo 4 l'acquisizione.

Esame o analisi?

L'esame rende disponibili i dati: trasforma un'immagine del disco in un elenco di file, recupera record eliminati ed estrae artefatti come la cronologia del browser. L'analisi si interroga sul significato dei dati per il caso. Rilevare che un file è stato copiato su un'unità USB rientra nell'esame; concludere, dopo aver verificato altre spiegazioni, che un determinato account lo ha copiato in un determinato momento rientra nell'analisi. ISO/IEC 27042 tratta questo passaggio interpretativo. Una buona prassi consiste nel considerare ipotesi concorrenti e dichiarare il grado di certezza dell'esaminatore rispetto a ciascuna conclusione.

Regole che si applicano a ogni fase

• Lavorare su copie verificate. Esaminare le immagini forensi, non gli originali, e confermare mediante valori hash che le copie corrispondano alla fonte.
• Documentare durante il lavoro. Registrare azioni, orari, strumenti e versioni, nonché le motivazioni delle decisioni, nel momento in cui avvengono (Modulo 5).
• Mantenere la catena di custodia. Ogni trasferimento di un reperto o di una copia viene registrato, affinché la sua storia non presenti lacune.
• Utilizzare metodi e strumenti validati. Conoscere il funzionamento di uno strumento, i suoi limiti e il modo in cui i suoi risultati sono stati verificati (ISO/IEC 27041).
• Rimanere entro l'ambito autorizzato. Esaminare soltanto ciò che è previsto dall'autorizzazione e richiesto dalle domande (Modulo 2).
• Separare i fatti dall'interpretazione. Dichiarare che cosa mostrano i dati, quindi che cosa se ne deduce e con quale grado di certezza.

Un breve esempio guidato

Un datore di lavoro sospetta che un ingegnere in procinto di lasciare l'azienda abbia copiato file di progettazione su un'unità USB personale. Seguendo il processo:

1. Identificazione: il portatile aziendale dell'ingegnere, il file server che contiene i file di progettazione, i log di accesso del server e qualsiasi unità USB restituita dall'ingegnere.
2. Raccolta e acquisizione: il portatile viene preso in custodia e ne viene creata un'immagine forense; i log rilevanti del server vengono esportati; vengono registrati i valori hash di ogni immagine e di ogni esportazione.
3. Preservazione: gli originali vengono sigillati e conservati; ogni immagine viene verificata e registrata nella catena di custodia.
4. Esame: l'immagine viene elaborata per elencare i dispositivi USB che sono stati collegati, i file aperti di recente e l'attività del file system.
5. Analisi: l'esaminatore costruisce una cronologia, la confronta con i log del server e verifica altre spiegazioni, come un backup automatico o l'utilizzo del portatile da parte di un altro utente.
6. Redazione della relazione: la relazione specifica che cosa è stato esaminato, come, che cosa è stato rilevato, che cosa non è stato possibile determinare e il grado di certezza dell'esaminatore rispetto a ciascuna risultanza.

Si noti che l'ordine non è strettamente lineare. L'analisi può rivelare una nuova fonte, come un account cloud, che riporta l'esaminatore alla fase di identificazione. Il processo è un insieme di regole metodologiche per ogni passaggio, non una catena di montaggio a senso unico.

Focus sull'esame: Elencare le sei fasi nell'ordine corretto e indicare come corrispondono a ISO/IEC 27037 (identificazione, raccolta, acquisizione, preservazione), ISO/IEC 27042 (analisi e interpretazione), ISO/IEC 27041 (validazione), ISO/IEC 27043 (processo complessivo) e NIST SP 800-86 (raccolta, esame, analisi, redazione della relazione). Saper distinguere la raccolta dall'acquisizione e l'esame dall'analisi, ed elencare le regole applicabili a ogni fase.