Identificazione e sequestro · Lezione 2 di 3
Messa in sicurezza della scena
7 min di lettura
I primi minuti sulla scena determinano in larga misura ciò che un esame potrà ottenere. Un clic incauto, uno spegnimento effettuato con buone intenzioni o il permesso concesso al proprietario di tornare alla tastiera possono modificare o distruggere le prove prima che qualcuno documenti lo stato iniziale. Il compito del primo interveniente è impedirlo: garantire la sicurezza delle persone, controllare l'area, documentare prima di toccare qualsiasi cosa e registrare lo stato di ogni dispositivo. Le ragioni alla base delle decisioni di accensione o spegnimento sono trattate nel Modulo 1, mentre l'autorità giuridica per accedere ai luoghi ed effettuare perquisizioni è trattata nel Modulo 2.
Il ruolo del primo interveniente
ISO/IEC 27037 descrive due ruoli. Il primo interveniente sulle prove digitali (Digital Evidence First Responder, DEFR) è una persona autorizzata, formata e qualificata a intervenire per prima sulla scena per raccogliere e acquisire prove digitali. Lo specialista delle prove digitali (Digital Evidence Specialist, DES) dispone di conoscenze tecniche più approfondite e può gestire situazioni che esulano dalle competenze del DEFR, come l'acquisizione di dati da un server complesso in esecuzione. In un gruppo ristretto, una sola persona può ricoprire entrambi i ruoli, ma la distinzione è utile: le attività svolte sulla scena devono rimanere entro i limiti delle competenze di chi le esegue. Un buon DEFR conosce questi limiti e richiede l'intervento di uno specialista anziché improvvisare.
La sicurezza prima di tutto
Nessuna prova vale un infortunio. Verificare innanzitutto la presenza di pericoli sulla scena: apparecchiature elettriche danneggiate, cavi scoperti, batterie al litio gonfie o surriscaldate, oggetti taglienti e, talvolta, persone ostili. I dispositivi possono inoltre recare prove forensi tradizionali, come impronte digitali o DNA. Indossare guanti e coordinarsi con gli eventuali esaminatori della scena del crimine, affinché le prove fisiche siano raccolte senza danneggiare le prove digitali e viceversa.
Controllare l'area e le persone
- Allontanare le persone da computer, telefoni e altri dispositivi e non consentire a nessuno di toccarli, compresi il proprietario o un responsabile IT.
- Annotare chi era presente, chi utilizza ciascun dispositivo e chi vi aveva accesso prima dell'arrivo.
- Prestare attenzione ai tentativi di raggiungere un dispositivo, di chiamare qualcuno che potrebbe eliminare dati da remoto o di nascondere piccoli oggetti.
- Tenere un registro di tutte le persone che entrano nell'area e ne escono.
- Ove consentito, porre domande generali su dispositivi, account e password (Lezione 3.1).
Documentare prima di toccare qualsiasi cosa
Fotografie e annotazioni preservano la scena così come è stata trovata, in modo da poter rispondere a domande successive, ad esempio su ciò che era visualizzato su uno schermo. Procedere dal generale al particolare:
- Fotografie o riprese video complessive della stanza, che mostrino la posizione di ciascun dispositivo.
- Ogni dispositivo visto da davanti e da dietro, inclusi schermi, cavi, porte e periferiche collegate.
- Lo schermo di ogni dispositivo in esecuzione, ripreso da una distanza che ne consenta la lettura.
- Ogni cavo, etichettato a entrambe le estremità con l'indicazione della porta a cui era collegato, prima di scollegare qualsiasi cosa.
- Uno schizzo semplice che mostri le posizioni dei dispositivi e i numeri di reperto che saranno assegnati.
Registrare l'orario di ogni passaggio utilizzando una fonte temporale affidabile e annotare l'ora indicata da ciascun dispositivo. La differenza sarà importante in seguito, durante l'analisi delle marcature temporali (Modulo 6).
Dispositivi accesi, spenti o in stati intermedi
Il Modulo 1 spiega perché i dispositivi in esecuzione e quelli spenti vengono trattati in modo diverso. Sulla scena contano l'azione pratica e la sua registrazione.
| Stato riscontrato | Azioni pratiche | Cosa registrare |
|---|---|---|
| Spento | Lasciarlo spento. Non accenderlo per effettuare verifiche. | Il fatto che fosse spento ed eventuali luci o suoni |
| Acceso, schermo visibile | Fotografare lo schermo. Non esplorare i contenuti. Decidere con uno specialista se sia necessario acquisire dati dal dispositivo in esecuzione (Modulo 4). | Contenuto dello schermo, finestre aperte, indizi di cifratura, ora visualizzata |
| Acceso, schermo scuro | Alcune procedure consentono di muovere leggermente il mouse, senza fare clic, per riattivare lo schermo. | Esattamente ciò che è stato fatto e ciò che è apparso |
| Telefono o tablet, acceso | Isolarlo dalle reti e mantenerlo alimentato. Non spegnerlo senza un motivo. | Stato di blocco, livello della batteria, notifiche visibili, indicatori di rete |
| Da spegnere | Per un computer desktop, una pratica comune consiste nello scollegare il cavo di alimentazione dal computer anziché utilizzare il comando di arresto. | La decisione, il motivo, il metodo e l'orario |
I telefoni richiedono attenzione: un telefono spento e poi riacceso torna generalmente in uno stato in cui la maggior parte dei dati rimane cifrata fino all'inserimento del codice di sblocco. Nei computer portatili la cui batteria non può essere rimossa, tenere premuto il pulsante di accensione forza lo spegnimento del sistema. I server che erogano servizi aziendali costituiscono un caso diverso (Lezione 3.3).
Cosa non fare
- Non esplorare i file, leggere messaggi, aprire applicazioni o controllare "solo una cosa". Ogni azione modifica dati e marcature temporali.
- Non collegare unità USB o altri dispositivi, a meno che non si tratti di un passaggio deliberato e documentato di un'acquisizione.
- Non eseguire antivirus o strumenti di pulizia. Possono mettere in quarantena o eliminare file e modificarne i metadati.
- Non spegnere un computer tramite il relativo menu senza prima considerare la cifratura e i dati volatili.
- Non consentire al proprietario o a un collega disponibile di utilizzare il dispositivo al proprio posto.
Isolare i dispositivi dalle reti
L'isolamento impedisce l'accesso remoto, la sincronizzazione e i comandi di cancellazione remota. In pratica:
- Connessioni cablate: fotografare ed etichettare il cavo di rete, quindi scollegarlo dal dispositivo e registrare l'orario.
- Telefoni e tablet: attivare la modalità aereo e verificare che anche Wi-Fi e Bluetooth siano disattivati, poiché su molti telefoni possono rimanere attivi in modalità aereo; in alternativa, inserire il dispositivo in una busta schermante per radiofrequenze (Lezione 3.3). Registrare ogni interazione con il dispositivo.
- Dispositivi gestiti dall'organizzazione: chiedere al gruppo IT, tramite un contatto autorizzato non coinvolto nella vicenda, di sospendere i comandi di blocco o cancellazione remota dal sistema di gestione dei dispositivi.
- Il router: spegnerlo isola tutti i dispositivi contemporaneamente, ma potrebbe contenere log volatili ed elenchi dei client (Lezione 3.1); pertanto, registrare o preservare prima ciò che è necessario.
Registrare identificativi e stati
Per ogni dispositivo, registrare marca, modello, numero di serie, eventuale etichetta inventariale e, per i telefoni, l'IMEI (l'identificativo univoco del telefono), spesso stampato su un'etichetta, sul vassoio della SIM o sulla confezione. Aggiungere lo stato: acceso, spento o in sospensione; bloccato o sbloccato; livello della batteria; in carica o meno; connessioni di rete; e qualsiasi contenuto visualizzato sullo schermo. Un modulo prestampato aiuta a non tralasciare nulla e mantiene uniformi le registrazioni dei membri del gruppo (Modulo 5).
Uno scenario svolto
Gli investigatori di Northline Freight arrivano in uno degli uffici contabili dell'azienda per raccogliere prove relative a pagamenti ai fornitori alterati. Un dipendente è seduto alla scrivania alla quale è stata ricondotta l'attività.
- Il DEFR chiede al dipendente di allontanarsi dalla scrivania e annota chi altro è presente nella stanza.
- Vengono fotografati la stanza, la scrivania e gli schermi. Il computer desktop è acceso con l'applicazione di contabilità aperta, un'unità USB è inserita in una porta anteriore e un telefono si trova sulla scrivania.
- Lo schermo viene fotografato senza toccare il mouse o la tastiera. Il disco è cifrato, quindi il DEFR chiama lo specialista, che decide se acquisire la memoria prima di interrompere l'alimentazione (Modulo 4).
- Il telefono viene fotografato, isolato dalle reti e collegato a una batteria esterna.
- Un foglietto adesivo sotto la tastiera, che sembra riportare una password, viene fotografato nella sua posizione e documentato.
- Un piccolo NAS in un armadio viene fotografato e i suoi cavi vengono etichettati; il responsabile IT conferma che esegue il backup dei computer dell'ufficio.
- Numeri di serie, stati e orari vengono riportati sul modulo della scena prima di confezionare qualsiasi reperto (Lezione 3.3).
Focus sull'esame: Occorre saper spiegare il ruolo del primo interveniente sulle prove digitali (DEFR) e in che modo differisce da quello dello specialista delle prove digitali (DES) secondo ISO/IEC 27037. Sono previste domande basate su scenari riguardanti l'ordine delle prime azioni (sicurezza, controllo delle persone, fotografie prima di toccare), come procedere con i dispositivi trovati accesi o spenti, cosa non fare (esplorare i contenuti, collegare unità USB, eseguire antivirus, spegnere senza valutare le conseguenze), l'isolamento pratico dalle reti e i relativi compromessi, nonché quali identificativi e stati registrare.