Newsgroup: it.comp.aiuto
Titolo: Esperti di pc come fanno ?

negli ultimi casi specie quello di garlasco
si sente spesso parlare delle varie perizie
informatiche e che si riesce a capire ogni
cosa che uno fa sul pc, tipo apertura word
e anche modifiche a un testo, visulizzaz.
immagini e video e di che tipo.
ora vi chiedo ma come fanno. so che c'e il
registro degli eventi ma sia in servizi
che applicazioni , non si vede tutto cio'.
quindi come fanno, c'e un registro particolare
o si usa un programma particolare o insomma
come fanno a capire tutto quello che uno fa sul
pc ? 


Ciao, ignorantemente la prima cosa che mi viene in mente sono le date di 
modifica dei file (non i salvataggi, parlo di file di sistema e programma 
che intervengono nell'uso), poi penso che con programmi ad hoc si riesca ad 
verificare gli accessi in lettura e scrittura dei vari cluster dei dischi 
fissi, senza parlare poi dei residui di memoria e quant'altro...
Immagino che senza una formattazione a basso livello dell'hard disk ci siano 
molti dati "sensibili" recuperabili.
Alex (To) 

 che applicazioni , non si vede tutto cio'.
Bella domanda.. come fanno non lo sï¿œ visto che combinano dei gran 
casini.. piï¿œ facile rispondere a come dovrebbero fare.
Le procedure di "Computer Forensics" sono ben spiegate in moltissimi 
libri (che evidentemente qualcuno non ha nemmeno letto prima di metter 
le mani su quei PC).
Maggiori info le trovi googlando cerca "Computer Forensics"


Pollin ha scritto:

Forse non ci crederai ma ci sono dei programmi (e dei sistemi) che 
riescono a legegre i dati sull'hard disk anche dopo MESI e quasi ANNI di 
formattazioni. Se ti interessa vedere un "esempio"....cerca in rete un 
programma di RECOVERY (UNDELETE) per le memory card delle macchine 
fotografiche. Lo fa un azienda tedesca.
Sembra impossibile ma ...a Settembre riesce ancora a estirpare le foto 
di GENNAIO anche se la memoria ï¿œ stata FORMATTATA + volte!
-- 
  -  - Assistenza Domicilio Computer Pc Adsl Empoli & Dintorni - 
http://assistenza-computers-firenze.net23.net

 immagini e video e di che tipo.
Non "ogni cosa", e` comunque piu` complicato di quello che puo` 
sembrare.
Si possono analizzare una miriade di elementi, ed esistono programmi 
specifici in commercio per queste perizie ma non tutto puo` essere 
sempre automatizzato... e` comunque un lavoro certosino.
Per fare un elenco delle cose piu` tipiche...
Memoria virtuale (pagefile o swapfile che dir si voglia).
File temporanei di sistema, vale a dire le directory temp o tmp.
File (o parti di file) cancellati, tramite analisi "raw" dei dischi 
(si intende una lettura indipendente dal filesystem, tentando stringhe 
di ricerca rilevanti al caso).
Con questi sistemi si trova tutto quello che uno ha cancellato x la 
fifa all'ultimo minuto, anche perche` c'e` la leggenda che formattando 
si cancella ma non e` affatto cosi` (l'unico sistema per "cancellare" 
un hd senza distruggerlo e` la sovrascrittura con byte casuali, che 
tra l'altro richiede un certo tempo x essere effettuata viste le 
enormi dimensioni degli hd attuali).
Poi i log di sistema comunque se non sono stati modificati ti dicono 
quando il pc e` acceso, eventualmente quali utenti si sono loggati 
ecc.
Cache/history/cookies del browser, e correlati (cookie di flash, 
robaccia di java, cache locale del dns ecc. ecc..) x sapere cosa ha 
fatto su internet. In generale la navigazione internet e` un coacervo 
di tracce, e non soltanto nel pc dell'utente. Ad esempio se si 
chiede a uno esattamente che cosa ha fatto su internet, e` probabile 
che la risposta possa essere verificata tramite analisi dei log dei 
siti su cui dice di essere andato ecc. L'invio di email poi e` 
registrato sempre dal provider similmente ai tabulati telefonici.
History, cache e file temp di tutti gli altri programmi. Con i 
software comuni per windows oramai non c'e` piu` niente che non lasci 
tracce. Le directory dei programmi e del profilo utente sono piene di 
piccoli file relativi alle attivita` recenti. Un classico sono i 
thumbnails delle foto e i file temporanei di word (che nel pc 
dell'analfabeta informatico medio si trovano sparsi dappertutto.)
Chat logs di msn e similari ed attivita` varie su siti interattivi 
come forum, social networks ecc.
E ovviamente le date di tutti i file, windows tiene gentilmente 
memoria di creazione, ultima modifica ed ultimo accesso..
-- 
	pardo