Source: http://docplayer.it/2302442-International-information-system-forensics-association-italy-chapter-information-forensics-nel-nuovo-panorama-tecnico-e-normativo-italiano.html
Timestamp: 2017-09-20 22:03:07+00:00
Document Index: 147713411

Matched Legal Cases: ['art. 103', 'art 246', 'art. 246', 'art. 247', 'art 246', 'art. 246']

International Information System Forensics Association Italy Chapter. Information Forensics nel nuovo panorama tecnico e normativo italiano - PDF
International Information System Forensics Association Italy Chapter. Information Forensics nel nuovo panorama tecnico e normativo italiano
Download "International Information System Forensics Association Italy Chapter. Information Forensics nel nuovo panorama tecnico e normativo italiano"
1 International Information System Forensics Association Italy Chapter Information Forensics nel nuovo panorama Slide di: Gerardo Costabile IISFA CIFI ISACA CGEIT e Giuseppe Mazzaraco IISFA CIFI ACFE CFE ISACA CGEIT Presenta Massimiliano Graziani IISFA CIFI ACFE CFE ISECOM OPSA
2 Per computer forensics s intende l applicazione di un metodo investigativo di tipo scientifico ai media digitali, al fine di evidenziare fatti oggettivi, come informazioni o fonti di prova, da sottoporre a giudizio in sede processuale. Negli scenari contemporanei, in cui la tecnologia ha un ruolo pervasivo nella vita quotidiana, la necessità di figure professionali altamente specializzate in questa complessa disciplina informatica assume sempre maggiore importanza. 2
3 Che cosa è IISFA? L International Information Systems Forensics Association (IISFA) è un organizzazione senza scopo di lucro, aperta a tecnici e giuristi, con la missione di promuovere la disciplina dell information forensics attraverso la divulgazione, l apprendimento e la certificazione. Le attività ruotano intorno ad un codice etico ed alla possibilità di far parte di un network di specialisti, con lo scopo di costituire insieme una squadra che, nel medio periodo, rappresenti un punto di riferimento nello specifico settore, allo stato sottolineato da forti individualità 3
4 Attività investigativa (molto semplificata) Time Line Perquisizione Sequestro Conclusione indagini Denuncia Querela etc. Analisi tecnica Dibattimento Indagine 4
5 Information forensics. Disciplina che si occupa della preservazione, dell'identificazione, dello studio, della documentazione dei computer, o dei sistemi informativi in generale, al fine di evidenziare prove per scopi di indagine. 5
6 Il ruolo del computer Parte attiva dell azione criminale.. Obiettivo di atti criminali. Contenitore delle prove per attività illecita di tipo comune.. 6
7 Tipologie di Computer Forensics Analisi post-mortem: Ci si riferisce all analisi di una macchina fatta dopo un'intrusione perpetrata con successo oppure a seguito di un illecito. Nel caso di alcuni reati informatici, l attività deve essere svolta tenendo conto del fatto che l'intruso potrebbe aver a acquisito privilegi di amministrazione sulla macchina, e che quindi potrebbe avere alterato i log di sistema (questo aspetto riguarda la valutazione dei dati). Live Forensics Analysis: Comprende tecniche di analisi su sistemi attivi, sviluppate negli ultimi anni; infatti gli attacchi più recenti spesso non lasciano tracce sugli hard disk ma operano sui dati in memoria, che si perderebbero spegnendo il dispositivo; inoltre spesso i dispositivi di storage connessi sono protetti da meccanismi di cifratura, e le chiavi possono essere contenute in memoria. Definisce la modalità di analisi Definisce la locazione del dato Network Forensics: Il termine si riferisce all'analisi di sistemi di rete, al fine di determinare elementi probatori inerenti un determinato caso investigativo Memory Forensics: E il recupero dell informazione contenuta nella memoria RAM di un computer, caratterizzata da una forte volatilità (non sopravvive allo spegnimento). Si interseca con la Disk Forensics citata sopra, ove si consideri l analisi dello SWAP Space Disk Forensics: Una specifica attività legata all estrazione di informazioni dagli hard disk dei sistemi, previa generazione di immagini inalterabili su cui effettuare l analisi o applicazione di altra tecnica a tutela del dato originale. Internet Forensics: Specializza le tecniche e le metodologie proprie delle altre tipologie di forensics al caso specifico di illeciti che coinvolgono Internet (reati commessi su Internet o mediante Internet) 7
8 Le fasi di formazione della prova informatica.. Individuazione (e successivo sequestro/ispezione) Acquisizione (durante o post sequestro) Analisi (consulente o perito) Valutazione 8
9 Individuazione E la parte investigativa fondamentale.. Capire quali sono gli oggetti informatici che parlano 9
10 Fotocopiatrice... Dalla carta ai bit... Accesso fisico ai risultati Accesso in rete Estrapolazione storica dall hard disk 10
11 Acquisizione - modalità Il processo di acquisizione del dato deve tenere conto di alcuni vincoli dettati dalle normative! Modalità di acquisizione del dato Acquisizione dati in movimento Acquisizione/Duplicazione Acquisizione hardware Modalità Acquisizione del dato nella sua fase di trasferimento da un sistema all altro. Clonazione dispositivo Duplicazione parziale Principalmente inteso come sottrazione dell elemento dalla disponibilità dell utente (es. software contraffatto) Descrizione L acquisizione del dato può avvenire in questo caso attraverso l ausilio di apposite sonde in grado di acquisire log e raccogliere il traffico proveniente da uno o più sistemi La duplicazione del dato presuppone l acquisizione del medesimo dal supporto di memoria. La copia del dato (clonazione del dispositivo o duplicazione parziale) deve essere verificata per garantire l identicità con il dato originale (tecniche di hashing). Gli asset informatici di proprietà dell azienda possono essere acquisiti per indagini forensi interne 11
12 Acquisizione Bisogna congelare il dato informatico ed esaminare successivamente una copia dell originale Se viene commesso un errore non si può cliccare sul tasto annulla 12
15 Un piccolo filmato mostra il funzionamento di un WB HW specifico per CF. 15
17 Alcune best practices: Maneggiare sempre i reperti con guanti elettrostatici Fotografare e documentare tutte le fasi di acquisizione Eseguire sempre il wipe sicuro dei dischi di destinazione Utilizzare sempre il write blocker hardware per proteggere i dischi sorgente Calcolare sempre l impronta hash del disco sorgente Custodire sempre i dischi in buste elettrostatiche e in contenitori anticaduta Alcuni consigli: Eseguire sempre il wipe sicuro dei dischi destinazione conservandone un log Effettuare la copia in formato DD in porzioni da 4 Gb Di fronte ad un sistema non conosciuto non improvvisare ma prendere le opportune precauzioni con i giusti tempi (vedi SCSI con controller proprietario o sistemi Legacy) 17
18 La chain of custody E il processo di documentazione del percorso delle tracce informatiche dall individuazione all aula del tribunale. 18
19 L accuratezza del tempo L orologio di windows può essere cambiato agevolmente Si possono programmare eventi ad un certo orario, anche con software specifici.. 19
20 Che Tempo abbiamo? Uno degli errori nella Time Forensics, è quella di non dare importanza ai simboli e numeri intorno all orario Abbiamo orari GMT, UTC, 20
21 L alibi una definizione - Il mezzo di prova tendente a dimostrare che l imputato in tali die, in illa hora, non fuisse in tali loco, sed alibi 21
22 Lo stato dell arte dell attività di assicurazione delle fonti di prova 22
23 Homo erectus Sequestro di tutto tappetini del mouse compresi...poi si vede 23
24 Homo sapiens Sequestro di quanto necessario.. attività di scrematura in fase preliminare e non peritale le conseguenze? 24
25 Immaterialità dei files Corte di Cassazione, Sezione IV Penale, Sentenza 13 novembre gennaio 2004, 3449 E così come non può certo affermarsi che mediante processo fotografico si possa spossessare il titolare di un bene materiale corporeo (o di una res), così, allo stesso modo, non può affermarsi che lo spossessamento avvenga mediante il processo di copiatura dei files informatici. Ne consegue, per la non configurabilità del reato di furto dei files mediante duplicazione (o copiatura), la mancata configurazione del fumus commissi delicti, necessario presupposto del disposto sequestro. La non compiuta spiegazione, in provvedimento impugnato, della modalità concreta dell'affermato spossessamento ad opera dell'indagato, implica il lamentato difetto di motivazione, ed esige annullamento con rinvio dei provvedimento impugnato per nuovo esame sul punto. 25
26 Sequestro eccessivo di tutto il supporto? Il vincolo pertinenziale non sembra sempre sussistere tra il reato e l intero supporto informatico, in luogo delle sole tracce ivi contenute, almeno nei casi in cui il computer non può essere semplicisticamente considerato come l arma del delitto. Per questo motivo appare fondamentale valutare il ruolo del computer nell attività illecita, per motivarne l eventuale sequestro. 26
27 Sequestro di un server La Cassazione ha ritenuto legittimo il sequestro, presso lo studio di un avvocato sottoposto ad indagini, di un server informatico completamente sigillato, al fine di verificare, con le garanzie del contraddittorio anticipato, la natura effettivamente pertinenziale al reato ipotizzato, di atti e documenti sequestrati, così escludendo indebite conseguenze sulle garanzie del difensore in violazione dell art. 103 cpp (Cassazione V, 19 marzo 2002, Manganello) 27
28 Corte di Cassazione, Sez. III Penale, n del / La Corte evidenzia: sequestro di materiale informatico neutro rispetto alle indagini (es. stampante, scanner, etc); non vengono indicate esigenze probatorie che legittimino il permanere del vincolo sullo stesso; che la prova sarebbe tutelabile anche con il solo sequestro dell hard disk e dei cd/floppy 28
29 Ispezione ex art 246 cpp e ss. Il computer, e non solo quello ovviamente, può assumere la veste di mero contenitore della prova del crimine, ad esempio può immagazzinare il piano di una rapina o le mail intercorse tra i complici. In tal caso non sarà necessaria un azione di sequestro, ma potrà essere operata in contraddittorio una semplice masterizzazione delle tracce pertinenti al reato, con lo strumento di polizia giudiziaria più appropriato, come ad esempio un ispezione delegata ex art. 246 cpp. 29
30 Quesiti al consulente tecnico. 1. premesso che tutte le analisi forensi dovranno essere operate su un'immagine dei supporti originali, creata con blocchi hardware in scrittura al fine di consentire la ripetibilita' degli accertamenti e non pregiudicare la genuinità delle tracce informatiche, estrapoli il consulente tecnico ogni informazione utile, come di seguito precisato, dai seguenti hard disk: a.1 Hard disk seriale ; a.2 Hard disk seriale ; acquisiti in data dalla Polizia giudiziaria. 30
31 Quesiti al consulente tecnico.(2) 2. l'analisi forense dovrà vertere nella ricerca di ogni documento leggibile/stampabile sia di immagini che di testo, compresi eventuali file di posta elettronica ed allegati con l'esatta indicazione della loro posizione (logica e fisica) e proprietà (lettura/modifica/scrittura) rilevandone per ciascuno, inoltre, la doppia impronta di hash MD5 e SHA1. L'analisi forense, inoltre, dovrà essere condotta in modo da reperire anche file/documenti cancellati. L'esito dell'analisi forense dovrà essere prodotta su supporti ottici CD/DVD non riscrivibili e monosessione, e gli stessi dovranno essere normalmente navigabili in formato HTML. Nel caso di file con password, si autorizza il consulente alla rimozione delle misure di sicurezza, e questi dovra' produrre sia il file originale che quello decodificato, con relativo file di testo al latere riportante la password. 31
32 Quesiti al consulente tecnico. (3) 3. La polizia giudiziaria potrà, laddove opportuno, fornire un elenco di parole chiave per estrapolazione mirata dei documenti di cui al punto precedente. 4. il consulente dovra' documentare tutta la chain of custody (catena di custodia) delle tracce informatiche oggetto di analisi forense, anche mediante l'ausilio di rilievi fotografici. 5. venga effettuata una analisi dei supporti per evidenziare l'eventuale presenza di virus et similia, attivi e residenti nell'hard disk. 32
33 Analisi dell articolato Ratifica della Convenzione di Budapest Nuova legge sul Cybercrime Legge n. 48 del
34 In udienza si ascolta: - computer come una provetta e la Pg con la siringa. - la prova informatica è per sua natura volatile, come i residui da sparo 34
35 Testo finale dell art. 247 Casi e forme delle perquisizioni. 1. Quando vi è fondato motivo di ritenere che taluno occulti sulla persona il corpo del reato o cose pertinenti al reato, è disposta perquisizione personale. Quando vi è fondato motivo di ritenere che tali cose si trovino in un determinato luogo ovvero che in esso possa eseguirsi l'arresto dell'imputato o dell'evaso, è disposta perquisizione locale. 1-bis. Quando vi e` fondato motivo di ritenere che dati, informazioni, programmi informatici o tracce comunque pertinenti al reato si trovino in un sistema informatico o telematico, ancorché protetto da misure di sicurezza, ne e` disposta la perquisizione, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l alterazione. 2. La perquisizione è disposta con decreto motivato. 3. L'autorità giudiziaria può procedere personalmente ovvero disporre che l'atto sia compiuto da ufficiali di polizia giudiziaria delegati con lo stesso decreto. Perquisizione? SPUNTI DI RIFLESSIONE 35
36 Testo finale - Art. 244 cpp Casi e forme delle ispezioni. 1. L'ispezione delle persone, dei luoghi e delle cose è disposta con decreto motivato quando occorre accertare le tracce e gli altri effetti materiali del reato. 2. Se il reato non ha lasciato tracce o effetti materiali, o se questi sono scomparsi o sono stati cancellati o dispersi, alterati o rimossi, l'autorità giudiziaria descrive lo stato attuale e, in quanto possibile, verifica quello preesistente, curando anche di individuare modo, tempo e cause delle eventuali modificazioni. L'autorità giudiziaria può disporre rilievi segnaletici, descrittivi e fotografici e ogni altra operazione tecnica, anche in relazione a sistemi informatici o telematici, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l alterazione. SPUNTI DI RIFLESSIONE Il concetto di alterazione e gli accertamenti irripetibili Il rapporto tra ispezione e perquisizione 36
37 Ispezione ex art 246 cpp e ss. Il computer, e non solo quello ovviamente, può assumere la veste di mero contenitore della prova del crimine, ad esempio può immagazzinare il piano di una rapina o le mail intercorse tra i complici. In tal caso non sarà necessaria un azione di sequestro, ma potrà essere operata in contraddittorio una semplice masterizzazione delle tracce pertinenti al reato, con lo strumento di polizia giudiziaria più appropriato, come ad esempio un ispezione delegata ex art. 246 cpp. 37
38 Cassazione
40 Un piccolo esperimento Prendiamo una presentazione powerpoint Calcoliamo la sua impronta digitale con la funzione di hash MD5 (The Internet Engineering Task Force RFC 1321 Aprile 1992) Analizziamo i risultati 40
41 Fonte: Wikipedia Nel linguaggio scientifico, l'hash è una funzione univoca operante in un solo senso (ossia, che non può essere invertita), atta alla trasformazione di un testo di lunghezza arbitraria in una stringa di lunghezza fissa, relativamente limitata. Tale stringa rappresenta una sorta di "impronta digitale" del testo in chiaro, e viene detta valore di hash, checksum crittografico o message digest. 41
42 Fonte: Wikipedia 42
43 Ecco i risultati - fidatevi 43
44 Prima del trascinamento 44
45 Dopo il trascinamento sul pen drive 45
46 Raffronto 46
47 Software per CF Quando proprio non si può evitare 47
48 Ripassiamo La fase più delicata dell azione di polizia giudiziaria, quando sono trattate informazioni digitali, è quella dell acquisizione. E necessario, infatti, per evitare sgradite sorprese in fase dibattimentale e consentire eventuali perizie di parte su informazioni genuine, che l attività di analisi delle tracce informatiche sia operata non sull originale del supporto sequestrato, ma su di una immagine dello stesso, consentendo in un secondo momento di effettuare una medesima attività a riscontro delle risultanze investigative ivi compendiate. La bit stream image, a differenza della mera copia, consentirà di operare su un hard disk praticamente identico all originale, sia in maniera logica che fisica, quindi anche su eventuali parti presumibilmente vuote dello stesso, che potrebbero contenere file o frammenti di file cancellati non sempre visibili con i normali strumenti di windows. 48
49 Necessità vs Opportunità Utilizzare Software semplice, conosciuto e ritenuto affidabile Utilizzare blocchi hardware in scrittura, ove possibile Calcolare gli hash dei file/hard disk e fare un report Masterizzare più copie ed allegarle al verbale Non installare nulla in giro sulle postazioni, specialmente presso aziende Documentare il tutto nel migliore dettaglio possibile Sterilizzare l ambiente di analisi 49
50 FTK di Accessdata Forensics Tool Kit (FTK) è un software di computer forensics. Esiste una versione Imager per effettuare le attività di acquisizione forense. Tale versione è gratuita ed è utilizzabile in modalità che consente la successiva analisi con altri software di analisi (o con la componente FTK di analisi forense) Vediamo. 50
51 Usando FTK Imager è possibile: Hardware Write Protect Device Esportare hash e convertire immagini Preview Immagine 51
52 Alcune proprietà FAT and NTFS Varia in base ai file system Mostra le info sulle immagini Evidence Info 52
53 Proprietà Varia a file system Linux/EXT MAC/HFS 53
54 I vari formati FTK Imager crea questi formati:.001/.e01.iso/.cue.ad1/.s01 Imager legge questi formati: 54
55 Acquisizione 55
56 Acquisizione 56
57 Singola sorgente Multi Image Crea formati immagine diversi da una singola fonte contemporaneamente 57
58 Multi Sorgente Multi Image Crea multiple immagini da Multiple sorgenti contemporaneamente!! 58
59 Conversion Image and Image 59
60 Verifica Encase / DD?? Verified based on image format 60
61 Custom Content Images 61
62 Custom Content Images Puo includere sorgenti multiple Puo includere spazio non allocato Risultato nel formato.ad1 62
65 Per ulteriori informazioni Massimiliano Graziani 65
Computer Forensics nel nuovo panorama tecnico investigativo italiano
Computer Forensics nel nuovo panorama tecnico investigativo italiano a cura di Massimiliano Graziani CIFI CFE ACE OPSA Board of Directors IISFA Italian Chapter Senior Security Consultant Visiant Security
Il diritto processuale penale dell informatica e le investigazioni. informatiche. Sommario
Il diritto processuale penale dell informatica e le investigazioni informatiche* Sommario 1 La computer forensics. - 2 Le origini della computer forensics. - 3 La prova digitale. - 4 Il documento informatico
La digital forensic e investigazioni informatiche
La digital forensic e investigazioni informatiche Introduzione al processo di analisi forense sui dati ed i dispositivi digitali - Nicola Chemello Nicola Chemello Ingegnere dell informazione EnCE, ACE,
Computer Forensics. L esame della scena del crimine informatico. Roma, 10 maggio 2007
Computer Forensics L esame della scena del crimine informatico Roma, 10 maggio 2007 Definizione di Computer Forensics 2 L'accezione Computer Forensics si riferisce a quella disciplina che si occupa della
Corso di Laurea Magistrale in Ingegneria delle Telecomunicazioni A.A. 2014/15. dispense integrative. a cura di. Gianluca Satta.
Corso di Laurea Magistrale in Ingegneria delle Telecomunicazioni A.A. 2014/15 DIGITAL FORENSICS dispense integrative a cura di Gianluca Satta Federico Aresti Modulo del Corso di Diritto dell Informatica
Informatica e studio delle nuove tecnologie
CONSIGLIO SUPERIORE DELLA MAGISTRATURA Incontro di studi sul tema: Scienze e processo penale Roma, 27-29 giugno 2011 Informatica e studio delle nuove tecnologie Francesco CAJANI Sostituto Procuratore della
L Informatica Forense si articola in ulteriori discipline:
1 2 L Informatica Forense si articola in ulteriori discipline: 3 Nella Digital Forensics in particolare si prendono in considerazione particolari tipi di Informazioni (ossia i byte) e i particolari strumenti
3 Funzionalità Forensiche 3.1 Gestione del Caso X-Ways Forensics, l ambiente dedicato alla computer forensics integrato in WinHex, può essere utilizzato unicamente con la licenza forensic di WinHex. Offre
PROCURA DElL~ R~PU8BLlCA', DI LECCE r---------~~------ lnformaiici ~--- (i 3 1 AGO. 2010 I! Italian No---""""""--""".~p.-.."-"...--... I IJV---'-'" TARIFFARIO PROFESSIONALE INFORMATICA FORENSE (Collegio
Computer forensics e L. 48/2008
Computer forensics e L. 48/2008 Consiglio dell'ordine degli Avvocati di Catanzaro 20/3/2009, LL.M. g.gallus@studiogallus.it 1 CHI SONO giobatta@gnulaptop $ whoami $ Mi diletto di computer da oltre 25 anni
L EFFICACIA Sistema PROBATORIA DEL DOCUMENTO ANALOGICO
L EFFICACIA Sistema PROBATORIA Itinerario DEL DOCUMENTO ANALOGICO Le differenti prospettive nel grado di intensità della prova rispetto al convincimento del giudice civile e penale 1 Sigla pag. 1 5-1 La
Giuseppe Vaciago - Tatiana Morosetti
Giuseppe Vaciago - Tatiana Morosetti LE INDAGINI INFORMATICHE E LA PROVA DIGITALE 1. Aspetti processuali 1.1 Premesse 1.2 Sequestro probatorio di supporti informatici 1.3 La tutela dell integrità e della
ANCORA DUBBI E INCERTEZZE SULL ACQUISIZIONE DELLA CORRISPONDENZA ELETTRONICA
ANCORA DUBBI E INCERTEZZE SULL ACQUISIZIONE DELLA CORRISPONDENZA ELETTRONICA Cass. pen., sez.vi, 24 febbraio 2015 (dep. 10 giugno 2015), n. 24617, Pres. Milo, Rel. Di Stefano, Ric. Rizzo di Federico Cerqua
ALMA MATER STUDIORUM UNIVERSITA' DI BOLOGNA CIRSFID DOTTORATO DI RICERCA IN DIRITTO E NUOVE TECNOLOGIE Bologna, 5 luglio 2013 DEFINIZIONE DEI SISTEMI RIS-PACS RIS (Radiology Information System) Sistema