Analisi Forense: ecco tutti i dettagli

Cari lettori di Tecnogalaxy oggi parleremo di Analisi Forense, di attualità negli ultimi anni, sicuramente ne avrai già sentito parlare. In questo articolo vedremo cos’è come funziona e quali software/toll vengono utilizzati.

L’informatica forense è una parte della scienza digitale forense legata alle prove acquisite da un computer o da altri dispositivi di memorizzazione digitale.

Lo scopo dell’Analisi Forense è quello di esaminare dispositivi digitali seguendo processi definiti di analisi forense con l’obbiettivo di identificare, preservare, recuperare presentando fatti o opinioni riguardanti le informazioni raccolte.

Questo concetto di informatica forense inizia a vedersi nei primi anni 80, con l’utilizzo dei personal computer anche da privati, accrescendone però l’utilizzo in attività criminali.

Legato a questo aumento purtroppo cresce anche il numero di crimini informatici.

Inizialmente l’informatica forense viene utilizzata per il recupero e l’analisi di prove digitali per poi essere utilizzate di fronte ad una corte.

Al giorno d’oggi l’informatica forense non è usato solo come strumento di analisi di prove, ma come uno strumento utilizzato dai principali mezzi di investigazione.

Tra questi sono inclusi il cyberstalking, gli omicidi e lo stupro, la pedopornografia, le frodi, lo spionaggio etc..

In ambito lavorativo si sono sviluppate diverse specializzazioni della digital forensics, di seguito le tre principali specializzazioni:

Disk Forensics

Questo settore si occupa di acquisire e analizzare i supporti di memoria come “hard disk, chiavette USB, notebook, computer, server, dvd, cd…”.

Network Forensics

Questo settore invece si occupa di acquisire e analizzare dati in rete e dati presenti su Internet “relazione sull’acquisizione di pagine web di siti internet ad esempio”.

Mobile Forensics

Questo settore è specializzato nell’acquisizione e nell’analisi device, “telefoni cellulari, tablet, smartphone” dispositivi mobili.

Tecniche utilizzate e strumenti

Analisi Cross-Drive

Questa analisi è una tecnica che permette di correlare informazioni estratte da diversi dischi rigidi di vari computer.

Analisi Live

Vengono fatte analisi all’interno del sistema operativo dei computer utilizzando strumenti o esistenti o creati ad-hoc per estrarre informazioni.

E’ una pratica utile nel caso di sistemi con Encrypting File System, ottenendo la chiave di cifratura per poi ottenere le immagini del disco logico prima che il computer sia spento.

Recupero di file eliminati

Forse la tecnica più implementate dai moderni software forensi, spesso i sistemi operativi e file system non eliminano fisicamente i dati, anche se eliminati dal cestino da parte dell’utente, tramite questi software è possibile ricostruirli a partire dai settori fisici del disco.

Metodi anti steganografia

Gli esperti informatici forensi per combattere i crimini associati a dati nascosti all’interno di immagini alterandone i bit, utilizzano questa tecnica basandosi sulla realizzazione e sul confronto degli hash che vengono ottenuti partendo dalle immagini originali e da quelle sotto analisi.

Mobile forensics

Sono i dati acquisiti da dispositivi mobili come ad esempio tablet, smartphone, PDA e GPS. Come potete immaginare questo settore è diventato cruciale grazie alla diffusione dei device mobile (tutti li utilizziamo per archiviare o trasmettere informazioni personali, per effettuare transazioni etc…

Analisi base

Un’ investigazione forense viene eseguita utilizzando diversi strumenti, a pagamento e open source.

Le analisi di solito partono dalla consultazione (manuale dei dispositivi) da analizzare, controllando ad esempio i registri di sistema (in Windows), ricerca di crack di password, ricerca di parole chiave che hanno un collegamento all’eventuale crimine, salvataggio delle email, estrazione di immagini etc…

Esempio di un Procedimento di analisi forense

Operazioni di duplicazione di acquisizione, si produce una copia forense, inizio fase di analisi forense.

Analisi forense

Verifica di cosa è accaduto nel tempo;
Analisi forense di timeline in modo da stabilire i tempi/modi in cui si sono verificati i fatti;
Recupero dei file in chiaro;
Recuperare dei file cancellati (anche di dati da dischi formattati);
Analisi dei dati presenti nello slack space;
Indicizzazione e ricerche dei dati in base a parole chiavi (keyword searching);
Individuazione di copie illegittime di dati, (in cui occorre prestare attenzione alla tutela della proprietà intellettuale);
Recupero di dati e miglioria della qualità da immagini e video (recupero targa di un auto direttamente da un’immagine);
Verifica delle intenzioni di un utilizzatore (ad esempio, analisi forense per pedopornografia;
Verificare delle connessioni ad antenne telefoniche (BTS), in modo da individuare i percorsi e le geolocalizzazioni tramite le celle telefoniche.

Come sempre fatene buon uso facendo dei test su vostri device / computer , farli su device/computer non vostri è illegale.

Al prossimo articolo.

N.B.: Non mi assumo nessuna responsabilità dell’uso che farete della guida, in quanto stilata per uso didattico e formativo.

Giorgio Perego
IT Manager