Source: http://docplayer.it/1421298-Digital-forensics-best-practices.html
Timestamp: 2017-08-20 02:29:10+00:00

Document:
Digital Forensics Best Practices - PDF
Download "Digital Forensics Best Practices"
1 Digital Forensics Best Practices Di 1
2 Definizione La Digital Forensics è la disciplina scientifica che serve per identificare, acquisire ed analizzare una prova digitale, preservandola da eventuali alterazioni. Scientifica: ripetibile (Galileo Galilei) è la modalità tipica con cui la scienza procede per raggiungere una conoscenza della realtà oggettiva, affidabile, verificabile e condivisibile. Esso consiste, da una parte, nella raccolta di evidenza empirica e misurabile attraverso l'osservazione e l'esperimento; dall'altra, nella formulazione di ipotesi e teorie da sottoporre nuovamente al vaglio dell'esperimento. Prova: deve garantire il suo uso in tribunale 2
3 La STORIA 1984 FBI Magnetic Media Program created... this later becomes the Computer Analysis and Response Team (CART) 1995 International Organization on Computer Evidence (IOCE) formed RFC3227 -Guidelines for Evidence Collection and Archiving (2002) USA Department of Justice -Searchingand SeizingComputers(2002) USA IACP -Best Practices for Seizing Electronic Evidence (2006) USA DoJ Electronic Crime Scene Investigation v. 2 (2008) UK ACPO Computer Based Evidence Guidelines v.4 (2008) - Association of Chief Police Officers (ACPO) guidelines Computer Forensics Tool Testing (CFTT) by NIST (National Institute of Standards and Technology) 3
4 La Storia British examiners comply with the Association of Chief Police Officers (A.C.P.O.) guidelines. These are made up of four principles as follows:- Principle 1: No action taken by law enforcement agencies or their agents should change data held on a computer or storage media which may subsequently be relied upon in court. Principle 2: In exceptional circumstances, where a person finds it necessary to access original data held on a computer or on storage media, that person must be competent to do so and be able to give evidence explaining the relevance and the implications of their actions. Principle 3: An audit trail or other record of all processes applied to computer based electronic evidence should be created and preserved. An independent third party should be able to examine those processes and achieve the same result. Principle 4: The person in charge of the investigation (the case officer) has overall responsibility for ensuring that the law and these principles are adhered to. 4
5 Definizione I campi d azione della Digital Forensics sono: 1) Indagini interne ad una azienda 2) Supporto alla Polizia Giudiziaria ed ai PM (CTU) 3) Supporto ai privati indagati (CTP) 4) Valutazione danni 5) Spionaggio 6) Frode 7) Pedopornografia 8) Violazione policy 9) Ricatto 10) Terrorismo 5
6 Le fasi principali sono 4: Definizione 1) Identificazione 2) Acquisizione 3) Analisi e valutazione 4) Presentazione 6
7 L identificazione ed acquisizione Sulla scena del crimine bisogna, innanzi tutto, identificare ogni dispositivo che possa contenere prove (digital evidences), per poi acquisirlo. 7
8 L identificazione ed acquisizione Attualmente i dispositivi digitali che possono contenere le prove sono tantissimi e spesso sono così, inseriti nel nostro habitat da non farci più caso. Esempi: 1) Computers 2) Memory cards 3) Nastri digitali 8
9 L identificazione ed acquisizione 5) SIM cards 6) Cd-DVD rom 7) Smart printers 8) Smart Fax 9) Lettori MP3/AVI 10) Playstation et similia 11) ecc. 9
10 L identificazione ed acquisizione 10
11 L identificazione ed acquisizione Al momento dell analisi della scena si dovrà capire cosa prendere per poi analizzarlo. Durante i sequestri si potrebbero ignorare o tralasciare alcuni dispositivi che potrebbero contenere informazioni preziose. 11
12 L identificazione ed acquisizione Non è detto che la prova, la cosidetta smoking gun sia sul computer di casa. Anzi potrebbe essere su un DVD con la copertina degli Aristogatti di Walt Disney 12
13 L identificazione ed acquisizione Nella fase di sequestro si potrebbero commettere degli errori. Questo perché la D.F. è ancora una scienza senza protocollo comune. Non ci si preoccupa della ripetibilità del metodo utilizzato 13
14 L identificazione ed acquisizione Non ci si preoccupa della preservazione della prova Non ci si preoccupa della catena di custodia e del corretto modo di presentare i risultati delle indagini informatiche (reporting) 14
15 L identificazione ed acquisizione La D.F. si divide in 2 branche la live analisys e la post mortem Ognuna di esse ha regole diverse, dato che la live è un analisi su un sistema acceso ed in funzione La post mortem è su un sistema spento 15
16 Sulla scena del crimine 16
17 Sulla scena del crimine EVITARE di: 1) Aver fretta. 2) Improvvisarsi esperti su sistemi sconosciuti. 3) Usare strumenti non collaudati e/o improvvisati. 4) Esprimere pareri personali, NOI siamo TECNICI non Avvocati o Psicologi. 5) Rilevare sempre il tempo e la data usando strumenti affidabili e attenzione al formato (GMT o UTC). 17
18 Sulla scena del crimine 18
19 Sulla scena del crimine 19
20 Sulla scena del crimine UFED Mobile Forensics CellDek 20
21 Sulla scena del crimine 21
22 Impacchettamento Conservazione del disco originale e creazione della catena di custodia, ossia seriale, hash, passaggi di mano, ecc. 22
23 MOBILE DEVICES PDA, Cell Phone & Digital Camera Personal digital assistants, cell phones e le digital cameras possono conservare dati direttamente nella memoria interna o possono contenere memorie rimovibili. Se il dispositivo è off, non metterlo in on. (in pratica non accenderlo!) 23
24 MOBILE DEVICES Lasciare accesi i mobile device serve ad evitare che all accensione si presentino password o altri blocchi. Se possibile, fotografare il display e le schermate. Etichettare e acquisire tutti i cavi (compresi quelli di alimentazione) e portarli insieme al dispositivo. Mantenere il dispositivo in carica. Se il dispositivo non può essere mantenuto in carica, l analisi deve essere fatta prima che si scarichi la batteria per collezzionare più dati possibili, che potrebbero andar persi dopo lo spegnimento e la riaccensione. Sequestrare media aggiuntivi (memory sticks, compact flash, etc) e tenerle lontano da fonti magnetiche o radio. Documentare ogni passo fatto. 24
25 Check this out! Usare i guanti elettrostatici. Fotografare e documentare tutte le fasi di acquisizione Utilizzare dischi affidabili. Consigliabile l utilizzare del write blocker hardware per proteggere i dischi sorgente Calcolare sempre il codice hash del disco sorgente e dei file interessanti Utilizzare buste elettrostatiche e impacchettare i dischi in contenitori anticaduta Analizzare i dispositivi in ambiente sicuro. Garantire la riservatezza, integrità e disponibilità dei dati trattati A fine incarico, ove possibile, non conservare i dati acquisiti. Di fronte ad un sistema non conosciuto non improvvisare ma prendere le opportune precauzioni con i giusti tempi. 25
26 Live Analysis Se sulla scena criminis l informazione si trova su un sistema acceso? Se il computer non può essere spento per motivi di sicurezza? (es. computer medicali, militari, videosorveglianza, ecc.) Se lo spegnimento del computer creasse danno anche a terzi? (es. server di posta elettronica, database server, ecc,) 26
27 Live Analysis Altri casi: Il disco è criptato Ciò che si cerca è in RAM L accesso al sistema è biometrico (impronta, retina, ecc.) Allora si esegue un analisi live del sistema: Uso di determinati tool Reporting di tutte le operazioni svolte Si procede seguendo l ordine di volatilità 27
28 Live Analysis Registri di sistema Memoria cache Memoria delle periferiche (es. tabelle di routing) Processi in esecuzione Dischi Dati di log remoto e dati di controllo rilevanti per il sistema in esame Configurazione fisica del sistema informatico Topologia della rete Floppy CD/DVD e supporti ottici 28
29 L identificazione ed acquisizione Non ci soffermeremo molto sulle regole dell analisi live perché è legata ad un evento in fieri ed è meno frequente RAM dump (win32dd, mdd, memimage, FTK Imager) Acquisition of volatile system information (processes, sysinternals, nirsoft, wft, ecc.) Logical copying of files Live acquisition of the entire system (FTK Imager, dd, ecc.) Si ricordino dei semplici principi: 29
30 L identificazione ed acquisizione 1) Non spegnere il sistema con la procedura di spegnimento 2) Non usare programmi della macchina sospetta 3) Dump della RAM (quando e se possibile) 4) Cercare di copiare i media bit a bit 5) Lanciare un programma di listing dei processi, utenti, insomma salvare tutte le informazioni di runtime 6) Scollegarlo dalla rete se non serve essere connessi 7) Documentare tutto quello che si sta facendo 8) Eseguire tutti i tools (esterni) di Live Analisys 9) Principio di inderterminazione di Heisenberg (gatto di Schroedinger) 30
31 Fonte: Each of these can be used independently or in conjunction with other methods depending on the scope of the search. Random Access Memory (RAM) dump A RAM dump copies data currently residing in the system memory. Recovering this data has several limitations that must be recognized. Ownership and related date and time information is not included and data may not be readable. When attempting to read the data, it may not appear in the same order as originally written and additional steps may be necessary to ensure that the data is in a format useful to the investigator. Data contained in the system s memory may include unsaved documents, recent chat sessions, user passwords, and other similar type information. Recovering data from the system s memory is done by utilizing a system level interface to raw memory tools such as dd or WinTaylor with the input file "/dev/mem" or \\.\PhysicalMemory (depending on your operating system). These tools can be run from the system or an external device. Whether run from the system or an external device, portions of the memory will be overwritten. The recovered data can be exported to an external storage device. Careful documentation of this procedure will ensure the integrity of the recovered data. 31
32 Fonte: Acquisition of volatile system information The base operating system and running applications in many cases keep volatile data, which is never stored on a physical drive. Additional information that may be obtained through a live acquisition includes: 1. Running processes a snapshot in time of what was running on the machine at the time. 2. Operating System Information - open files, active network ports, network connections including IP information, firewall configuration. 3. Unsaved data data that may not have been written to storage media or cached in RAM. 4. Shared network drives or folders knowledge of and access to data stored on networked drives, permissions. 5. Connected network users other users may have access to the data through a network share or logged into a remote shell. 32
33 Fonte: Logical acquisition of selected files This procedure is typically used on network systems to copy logical files to removable media. Before accessing files, ownership, security and related date and time information should be captured using tools that preserve this data. Copying can be accomplished through the use of forensic tools or system migration tools. There may be instances where data is successfully recovered although the data becomes useless due to dependencies on system hardware or software. A visual verification of the copied data should be conducted independent of the original source to ensure that no such dependencies exist. Many other considerations may exist depending on the system s hardware and software architecture. Software on a system will access files as it runs. Files in this state can be described as open or locked. In many situations this data is a primary target of the acquisition. Special steps may be required to access this data. For instance when encountering a database or application, typically a tool is available to backup or export all data from that application. In addition to exporting data, it may be beneficial to first logically copy files used by that application. Encrypted data from Encrypted File System (EFS) files, Bitlocker, encrypted disk images, Pretty Good Privacy (PGP), and other encryption software may not be recoverable if the system is shut down. As long as encrypted files, folders or disks are open, they may be in a readable state and acquired through a live acquisition. If the system is turned off, the encrypted files may not be accessible. 33
34 Fonte: Live Acquisition of Entire System Live acquisition of the entire system would include a ram dump, acquisition of volatile system information, and copying of logical files. Depending on the circumstances, it may be beneficial to image the volume(s) while the system is still running. It is recommended that the acquisition be conducted in this order. This should only be attempted if the option of shutting down and imaging the drive is unavailable. Many encrypted systems emulate a storage device (e.g., under Linux a block device similar to that used to access a hard drive). If the system has encrypted file systems mounted or attached, it might be possible to image at the decrypted layer (e.g.,"/dev/loop0" block device under Linux). Benefits There are many benefits to conducting a live acquisition. Additional data is captured that will not be available when conducting a static acquisition. The ability to capture data from a running system allows the system to continue serving its data. While the static acquisition of a system may be desired, the pros and cons of each method must be weighed to conform to the limitations encountered while conducting the search. 34
35 L identificazione ed acquisizione Analisi Post Mortem Il dispositivo è spento quindi è necessario acquisire tutti i dati presenti sul disco rigido in maniera raw o bit a bit. Così da avere un clone perfetto dell hard disk, compresi i files cancellati e lo slack space su un supporto esterno previamente sterilizzato (wiping) oppure un file immagine. Verificare tutto con i codici di hash MD5 e SHA1 35
36 La codifica HASH HASH -> Fonte: Wikipedia Nel linguaggio scientifico, l'hash è una funzione univoca operante in un solo senso (ossia, che non può essere invertita), atta alla trasformazione di un testo di lunghezza arbitraria in una stringa di lunghezza fissa, relativamente limitata. Tale stringa rappresenta una sorta di "impronta digitale" del testo in chiaro, e viene detta valore di hash, checksum crittografico o message digest. L(lenght)= X bits, 4 bits (nibble) sono una cifra Hex quindi X/4=numero cifrehex generate. MD5: L=128bits genera una stringa di 128/4=32 hex chars 36
37 Fonte: Wikipedia 37
38 La codifica HASH Fonte: Wikipedia Un attacco preimage su un hash è un tentativo di trovare un messaggio che abbia uno specifico valore hash. Ci sono due tipi di attacchi preimage: Primo attacco preimage: Dato un hash h, trovare un messaggio m tale che hash (m) = h. Secondo preimage attacco: Dato un messaggio fisso m1, Trovare un messaggio diverso m2 tale che hash (m2) = hash (m1). 38
39 La codifica HASH Fonte: Wikipedia Un attacco collisione su un hash è un tentativo di trovare due contenuti che generino lo stesso hash. hash(m1)=hash(m2) Differisce dal second preimage nel fatto che non c è un m1 preordinato. 39
40 La codifica HASH There are two categories of attacks. Attacks against the "collision-free" property: A "collision attack" allows an attacker to find two messages M1 and M2 that have the same hash value in fewer than 2^(L/2) attempts. Attacks against the "one-way" property: A "first-preimage attack" allows an attacker who knows a desired hash value to find a message that results in that value in fewer than 2^L attempts. A "second-preimage attack" allows an attacker who has a desired message M1 to find another message M2 that has the same hash value in fewer than 2^L attempts. The two preimage attacks are very similar. In a first-preimage attack, you know a hash value but not the message that created it, and you want to discover any message with the known hash value; in the second-preimage attack, you have a message and you want to find a second message that has the same hash. Attacks that can find one type of preimage can often find the other as well. All the currently known practical or almost-practical attacks on MD5 and SHA-1 are collision attacks. A preimaging attack that costs trillions of dollars and takes decades to preimage one desired hash value or one message is not practical; one that costs a few thousand dollars and takes a few weeks might be very practical. 40
41 L Analisi 1. L analisi va effettuata sempre sulle copie e MAI sull originale. 2. Si usino tools accettati de facto dalla comunità scientifica 3. Open Source Vs Closed Source 4. L esperienza e la fantasia 5. Il profiling 41
42 L Analisi Tutte le analisi e ricerche devono essere eseguite sulla copia (meglio se copia della copia) In ambiente virtuale (VMWare, Qemu, VirtualBox,ecc.) Questo per il fine della ripetibilità 42
43 L Analisi I tools possono essere commerciali o open source, l importante che siano accettati dalla comunità dei C.F. experts, al fine di fugare dubbi sull affidabilità dello strumento usato. In caso di sviluppo di strumenti nuovi, è utile fornire il codice sorgente. 43
44 L Analisi I tools commerciali potrebbero avere varie problematiche, come tutto ciò di cui non si conosce il sorgente: 1) Bugs 2) Formati troppo proprietari 3) Fine dello sviluppo del sw 44
45 L Analisi I tools Open Source hanno dei vantaggi indiscutibili: 1) Controllo dei Bugs da parte della community degli sviluppatori 2) Formati aperti e compatibili 3) Sorgenti aperti a tutti -> Si sa cosa fanno 45
46 L Analisi La scelta NON deve essere radicale, ci sono sw commerciali che fanno cose che gli open source non fanno e viceversa 46
48 Live distro Linux: 1. CAINE 2. DEFT 3. FORLEX 4. FCCU 5. HELIX L Analisi TOOLS OPEN SOURCE: 48
49 Write Blocker & Co. 49
50 Write Blocker & Co. 50
51 Write Blocker & Co. FONTE: I write-blocker sono di tre tipologie fondamentali: (a) Firmware based: orientati ad impiegare le primitive del BIOS ed a gestire la loro inibizione in qualsiasi tipo di scrittura; (b) Software o Driver based: sono software di basso livello (in ambiente windows dei driver) orientati ad intercettare qualsiasi interruzione hardware o software che diriga qualsiasi tipo di scrittura verso la memoria di massa considerata. In questo caso è quindi il sistema operativo ad impedire l'alterazione e non il BIOS. Sempre di conseguenza eventuali bug del sistema operativo hanno un immediato effetto sulla garanzia di funzionamento del write-blocker. (c) Hardware based: sono veri e propri dispositivi elettronici che "tagliano" il bus di comunicazione tra unità di storage fisica e scheda madre (generalmente) e si interpongono come intermediari valutando ed eventualmente inibendo tutto ciò che entra ed esce dal dispositivo target. 51
52 L Analisi TOOLS CLOSED SOURCE: Encase(GuidanceSoftware) ForensicToolkit (Access Data) X-WaysForensic(X-Ways) P2 Commander(Paraben Corporation) Pro Discover(TechnologyPathways) Macintosh Forensic(Blackbag) 52
53 L Analisi Non bastano solo i tools a scoprire le prove ci vuole anche: Esperienza Fantasia Arte Magia ;-) A volte le prove sono in posti introvabili, protette da password, dentro le immagini (steganografia), nelle thumbnails, in files con headers modificati, su server internet, ecc. ecc. 53
54 L Analisi PROFILING Per risparmiare tempo è utile dedicare un po di tempo a studiare il suspect ed il suo profilo psicologico.magari così basterà aprire la cartella IMMAGINI ed abbiamo la prova che cercavamo. Approcci Deduttivo: idea generale scendo nel particolare. (adattativo) Induttivo: dal particolare vado al generale (base statistica) 54
55 Reporting e Presentazione Dall acquisizione sino alla consegna delle prove il tutto deve essere documentato con i moduli della CATENA DI CUSTODIA (verbali), in modo da avere sempre la tracciabilità della prova. Alla fine dell analisi, bisognerà ricostruire gli eventi accaduti sul dispositivo analizzato e tutti i passi eseguiti per l analisi, per poi spiegarli nel report finale da consegnare a chi di competenza (PM, Avvocati, P.G., ecc.) [Premessa (riportante i quesiti e l incarico) Operazioni svolte Risposta ai quesiti Conclusioni] 55
56 Reporting e Presentazione Il report non deve essere scritto in linguaggio stregonesco informatico, ma deve essere il più semplice e chiaro possibile, per ovvie ragioni. Le prove vanno registrate su supporti ottici/magnetici e codificate con hash MD5, SHA1 e poi creare un file che contiene i codici che a sua volta dovrà essere criptato al fine di non dare la possibilità di alterare le prove con ri-masterizzazioni Personalmente firmo anche col pennarello i supporti consegnati 56
57 LA FORENSICS STATION Un computer abbastanza potente Hard disk esterni firewire/usb2/ata/sata Write blocker Software O.S. / C.S. Scheda di rete (alta velocità) Masterizzatore DVD 57
58 ACCERTAMENTI TECNICI RIPETIBILI E NON RIPETIBILI Accertamenti tecnici (fonte PREMESSA: E opportuno premettere che la dizione Accertamenti Tecnici Ripetibili non è contemplata nel c.p.p., si può però affermare che rientrano in questa categoria tutti quelli a cui fa riferimento l Art. 359 c.p.p. e cioè tutti gli accertamenti svolti dai consulenti Tecnici del P.M. ma con i limiti previsti dall Art. 360 c.p.p. la cui dizione Accertamenti Tecnici non Ripetibili impone precisi obblighi al P.M.. E ovvio pertanto che tutto quanto non rientra nelle disposizioni del predetto articolo 360 è chiaramente ripetibile. L Art. 359 c.p.p. (Consulenti tecnici del P.M.) prevede che il P.M., quando procede ad accertamenti, rilievi segnaletici, descrittivi o fotografici e ad ogni altra operazione tecnica per cui sono necessarie specifiche competenze, può nominare e avvalersi di consulenti, che non possono rifiutare la loro opera. Il consulente può essere autorizzato dal P.M. ad assistere a singoli atti di indagine. L Art. 360 c.p.p. (Accertamenti Tecnici Non Ripetibili) prevede che, quando gli accertamenti previsti dall artt. 359 riguardano persone, cose o luoghi il cui stato è soggetto a modificazione, il P.M. avvisa, senza ritardo, la persona sottoposta alle indagini, la persona offesa dal reato e i difensori del giorno, dell ora e del luogo fissati per il conferimento dell incarico e della facoltà di nominare consulenti tecnici. I difensori nonché i consulenti tecnici eventualmente nominati, hanno diritto di assistere al conferimento dell incarico, di partecipare agli accertamenti e di formulare osservazioni o riserve. 58
59 Cenni utili a comprendere la: Ratifica della Convenzione di Budapest Nuova legge sul Cybercrime Legge n. 48 del
60 Testo finale dell art. 247 Casi e forme delle perquisizioni. 1. Quando vi è fondato motivo di ritenere che taluno occulti sulla persona il corpo del reato o cose pertinenti al reato, è disposta perquisizione personale. Quando vi è fondato motivo di ritenere che tali cose si trovino in un determinato luogo ovvero che in esso possa eseguirsi l'arresto dell'imputato o dell'evaso, è disposta perquisizione locale. 1-bis. Quando vi e` fondato motivo di ritenere che dati, informazioni, programmi informatici o tracce comunque pertinenti al reato si trovino in un sistema informatico o telematico, ancorché protetto da misure di sicurezza, ne e` disposta la perquisizione, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l alterazione. 2. La perquisizione è disposta con decreto motivato. 3. L'autorità giudiziaria può procedere personalmente ovvero disporre che l'atto sia compiuto da ufficiali di polizia giudiziaria delegati con lo stesso decreto. 60
61 Testo finale - Art. 244 cpp Casi e forme delle ispezioni. 1. L'ispezione delle persone, dei luoghi e delle cose è disposta con decreto motivato quando occorre accertare le tracce e gli altri effetti materiali del reato. 2. Se il reato non ha lasciato tracce o effetti materiali, o se questi sono scomparsi o sono stati cancellati o dispersi, alterati o rimossi, l'autorità giudiziaria descrive lo stato attuale e, in quanto possibile, verifica quello preesistente, curando anche di individuare modo, tempo e cause delle eventuali modificazioni. L'autorità giudiziaria può disporre rilievi segnaletici, descrittivi e fotografici e ogni altra operazione tecnica, anche in relazione a sistemi informatici o telematici, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l alterazione. 61
62 Ispezione ex art 246 cpp e ss. Il computer, e non solo quello ovviamente, può assumere la veste di mero contenitore della prova del crimine, ad esempio può immagazzinare il piano di una rapina o le mail intercorse tra i complici. In tal caso non sarà necessaria un azione di sequestro, ma potrà essere operata in contraddittorio una semplice masterizzazione delle tracce pertinenti al reato, con lo strumento di polizia giudiziaria più appropriato, come ad esempio un ispezione delegata ex art. 246 cpp. 62
63 Links interessanti: (CAINE) (ENCASE) (UTK) (PRODISCOVER) (HELIX) (X-Ways) 63
64 Varie 1. Carving da Thumbs.db con foremost e DMThumbs 2. Carving con HexEditor 3. Carving immagine iso 4. Usi di Tridnet per identificare i files, file (linux) e ftype windows 5. Eliminazione header e upx 6. Steganografia 7. Caine in VMWare e VirtualBox, navigazione da VMWare o da Live disk, non lascia traccia 8. Autopsy in cygwin 9. UPX, AXCrypt, cambio headers 10. Entropia per formati sconosciuti 11. Intercettazione Voip (Skype) con trojan 12. DD, DD_Rescue (md5 diverso) e clonazione (stessa geometria dischi) 13. Casi di irrepitibilità (360 c.p.p.) flussi di rete, live analisys, dischi rovinati, dischi con virus, supporti obsoleti e strani. 14. Photorec e Testdisk 15. Rainbow tables, collisione MD5 64
65 Operatività CHECKLIST 1) Controllare se i PC sono accesi. 1.1) Verificare che non vi siano volumi criptati (in caso affermativo chiedere passwords e/o analizzare live). 1.2) Spegnerli col distacco dell'alimentazione. 2) I PC spenti si sequestrano: perchè serve avere il PC per leggere orario BIOS ed eventualmente capirne l architettura degli hard disk (es. se sono RAID). 3) Domandare: 3.1) Ci sono altri dati su altri supporti oltre i PC (es. cd-rom, pendrive, hd esterni), backup (196/03) ) In caso affermativo sequestrare. 3.2) Chiedere eventuali passwords e/o buste con le passwords come da D.Lgs. 196/ ) Ci sono software proprietari che usano per l'elaborazione dati? 3.4) Ci sono connessioni internet per trasmissioni dei dati che ci interessano? 3.4.1) In caso affermativo c'è connessione dedicata? (oppure chiedere il provider es. Wind, Telecom, ecc. e relative password ed username) 3.4.2) Ci sono software proprietari di trasmissione? 3.4.3) Ci sono dati memorizzati su host remoti? 65
66 Operatività 3.5) Ci sono Fax/Stampanti con memoria? 3.5.1In caso affermativo sequestrare o vedere in loco. 4) Domandare fattura, documentazione varia per capire la tipologia degli hard disk. 5) In caso di mancanza di risposte sulla tipologia degli hard disk: 5.1) Spiegare che si andrà ad aprire per motivi tecnici: capire la capienza e la tipologia degli hard disk. 5.2) Indossare i guanti in lattice (per elettricita statica/non lasciare impronte), scaricarsi da possibile elettricità elettrostatica, aprire il case, leggere l'etichette dei dischi ed eventualmente fotografare/videoregistrare tutto. 5.3) Spiegare che non si sta alterando alcun dato ma solo leggendo delle etichette. 6) Imballare tutto e portare via. 7) Fissare una data per l'acquisizione (duplicazione) dei supporti. Questa lista è di massima e sarebbe utile controllarla edaggiornarla a seconda del caso che si andrà ad affrontare. 66
Open Source Digital Forensics. Nanni Bassetti http://www.nannibassetti.com
Open Source Digital Forensics Di www.nannibassetti.com 1 Chi sono Mi occupo di digital forensics dal 2005/2006, project manager di CAINE (distro usata in tutto il mondo) Fondatore di CFI (Computer Forensics

References: Art. 359
 Art. 360
 articolo 360
 Art. 359
 Art. 360
 art. 247
 Art. 244
 art. 246