Recupero forense dei dati: data carving, ricerca di firme dei file, analisi e reporting
-
Autore:
Anton Kryvoruchko
-
Editore:
Mykhailo Miroshnichenko
Addentrati nel mondo dell’analisi forense dei dischi con questa guida completa. Sia che tu sia nuovo nel settore o un investigatore esperto, acquisirai conoscenze utili per padroneggiare le tecniche di analisi forense dei dischi. Esploriamo segreti del mestiere, strategie di esperti e approcci passo dopo passo per migliorare le tue competenze forensi e rilevare verità nascoste nelle prove digitali.
- Requisiti dell'analisi forense
- Cosa viene recuperato?
- Analisi e reportistica
- Conclusione
- Domande e risposte
- Commenti
| Aspetto | Descrizione |
|---|---|
| Definizione | Il recupero forense di dati consiste nel recuperare dati cancellati, corrotti o nascosti per scopi legali, investigativi o di sicurezza. |
| Scopo | Individuare prove digitali per procedimenti legali, indagini penali o audit aziendali. |
| Caratteristiche principali |
|
| Metodi |
|
| Sfide |
|
| Strumenti utilizzati |
|
| Pubblico target | Forze dell’ordine, investigatori aziendali, esperti di cybersecurity e professionisti legali. |
Requisiti dell’analisi forense
L’applicazione forense delle tecniche di recupero dati impone ai sviluppatori determinati requisiti. Talvolta i requisiti sono simili a quelli osservati dagli sviluppatori di strumenti di recupero dati. Tuttavia, in alcuni casi i requisiti differiscono a tal punto da richiedere una menzione specifica.
Come recuperare file persi dopo la combinazione Ctrl+Z in Windows
Requisito 1. Funzionamento in sola lettura
Nel settore del recupero dati, il funzionamento in sola lettura è essenziale per preservare quante più informazioni originali possibile. Durante un’indagine forense, assicurare che nemmeno un singolo bit venga modificato sul disco analizzato è una prassi formale. Le informazioni alterate durante l’indagine potrebbero non essere ammissibili in tribunale. Per questo motivo, gli investigatori spesso utilizzano hardware certificato di blocco scrittura che impedisce qualsiasi tentativo di scrivere sul disco analizzato. Questo livello di precauzione comporta costi e non è generalmente richiesto per un normale intervento di recupero dati.
Requisito 2. Immagini disco virtuali
L’uso di immagini disco virtuali (copie bit-per-bit dell’intero contenuto del dispositivo) è una misura di sicurezza opzionale nel recupero dati. Tuttavia, la maggior parte degli specialisti forensi realizza prima un’istantanea del disco e prosegue l’indagine utilizzando quell’immagine acquisita. Anche i formati di immagine differiscono tra le applicazioni di recupero dati e quelle forensi. La maggior parte degli strumenti di recupero dati acquisisce un dump raw compresso o non compresso, mentre gli strumenti forensi seguono standard di settore, acquisendo (e analizzando) immagini in formati come Ex01, DD e SMART.
Requisito 3. Registrazione e reportistica
Durante l’indagine, gli specialisti forensi devono documentare ogni singolo passo. Gli strumenti di recupero dati forense generano report estremamente dettagliati che documentano ogni minima operazione. Gli strumenti commerciali di recupero dati normalmente producono un rapporto sintetico che indica quali file sono stati recuperati e quali no. Questo non sarebbe sufficiente per un tribunale: gli strumenti forensi elencano anche la posizione esatta (lista dei settori fisici) di ciascun file ottenuto con lo strumento, per garantire verificabilità e ripetibilità del processo.
Requisito 4. Ricerca per firme vs. ‘carving’ dei file
Gli strumenti commerciali di recupero dati impiegano una serie di algoritmi di ricerca basata sul contenuto che implementano una o l’altra variante della comune ricerca per firme. Queste tecnologie consentono di estrarre file mancanti da dischi rigidi con file system danneggiati o mancanti, dispositivi illeggibili, formattati o ripartizionati. Ad esempio, per i file *.docx e *.xlsx la sequenza è “50 4B”. Un’ulteriore analisi dell’intestazione del file aiuta a determinare la sua lunghezza. Molti strumenti forensi fanno lo stesso. Tali algoritmi hanno però delle limitazioni.
Le Migliori Programmi per Recuperare Documenti Cancellati (Microsoft Office, OpenOffice e altri)
Ad esempio, non possono recuperare file frammentati (se il record corrispondente nel file system è mancante o la tabella delle partizioni è danneggiata). Tuttavia, alcune prove possono essere troppo preziose per essere perse. Per questi file, gli analisti forensi possono impiegare un processo semi-automatico chiamato ‘carving’. Il processo di carving tenta di identificare l’inizio di un file (di solito un JPEG o un documento) e poi ricomporre il file da molteplici frammenti individuali in un processo simile all’assemblaggio di pezzi di un puzzle. Il carving può richiedere tempi estremamente lunghi e molto lavoro manuale. Non si automatizza facilmente, quindi viene applicato solo caso per caso.
Cosa viene recuperato?
A differenza degli strumenti commerciali di recupero dati, gli strumenti forensi normalmente recuperano ciò che è considerato rilevante come prova. Questo può differire notevolmente da ciò che un utente informatico considera prezioso. Ad esempio, gli investigatori forensi sono interessati a database della cronologia di navigazione e file di cache, file del registro di Windows, cronologie di conversazioni e chat mantenute da Skype, ICQ e applicazioni similari; file di paging e file di ibernazione, poiché questi possono contenere ulteriori prove. Immagini e video da analizzare per contenuti illegali e documenti da analizzare per informazioni sensibili. Come si nota, a eccezione di immagini e documenti, gli interessi degli investigatori corrispondono solo in modo approssimativo a ciò che un utente comune considera informazioni preziose.
Come riparare un disco RAW e recuperare dati da un HDD con partizioni RAW
Analisi e reportistica
L’analisi forense è principalmente finalizzata alla redazione di report. Un’analisi approfondita di quanto scoperto sul disco è spesso una parte centrale di un pacchetto forense. Gli strumenti di analisi forense continuano a funzionare ben oltre il punto in cui uno strumento commerciale di recupero dati ha terminato. Gli strumenti forensi parseranno database della cronologia, estrarranno e analizzeranno chat e conversazioni; analizzeranno la cronologia di navigazione e ricostruiranno il comportamento online del sospetto. In effetti, solo una piccola parte di un tipico strumento forense è responsabile del recupero delle informazioni; il resto è dedicato all’analisi. Strumenti forensi principali come Guidance EnCase, AccessData FTK, Belkasoft Evidence Center, Oxygen Forensic Toolkit e altri offrono potenti funzionalità di analisi insieme alle capacità di recupero dati.
Qualsiasi scoperta fatta dall’investigatore deve essere adeguatamente documentata, pertanto il modulo di reporting riassumerà le scoperte producendo un rapporto testuale breve ma completo. Molte altre funzionalità sono correlate ad analisi e reportistica molto specifiche.
Come recuperare file da una chiavetta USB infetta da virus
Conclusione
Gli strumenti per l’analisi forense dei dischi impiegano alcuni dei più avanzati algoritmi di recupero dati. Tuttavia, il recupero dati non è la loro specialità principale. Un utente comune sarà meglio servito da uno strumento commerciale di recupero dati, che estrarrà più informazioni dal disco risultando di valore per l’utente — e non per l’investigatore.
