Gli Strumenti Informatici per l

1
Gli Strumenti Informatici per lAnalisi Forense
Collegio Ghislieri - Centro per la Comunicazione
e la Ricerca Informatica Giuridica La Sicurezza
Informatica tra Diritto e Tecnologia Pavia, 24
maggio 2007

• Antonio Barili
• Dipartimento di Informatica e Sistemistica
• Università degli Studi di Pavia

2
Gli strumenti informatici per lanalisi
forenseSommario

• L Analisi Forense Ambito disciplinare e
  finalità
• Le caratteristiche della prova digitale
• Il ruolo dellanalista forense
• Gli strumenti per lanalisi forense
• Un esempio di analisi forense
• Conclusioni

3
Gli strumenti informatici per lanalisi
forenseL Analisi Forense - Ambito disciplinare
Computer Forensics
Embedded-SystemsForensics
Digital Forensics
Mobile-SystemsForensics
Network Forensics
4
Gli strumenti informatici per lanalisi
forenseLAnalisi Forense - Finalità

• Individuare, raccogliere e conservare potenziali
  elementi di prova di natura informatica
• da supporti persistenti (memorie di massa)
• da comunicazioni o processi in esecuzione
• Documentare e interpretare le informazioni
  raccolte
• Presentare i risultati in una forma
  intellegibile e valutabile dal giudice (e dalle
  parti)
• Problema attribuzione delle evidenze
  informatiche ai soggetti indagati

5
Gli strumenti informatici per lanalisi
forenseLe caratteristiche della prova digitale

• Necessità di interpretazione
• linformazione non è immediatamente apprezzabile
  dal giudice e dalle parti
• Fragilità
• molti atti compiuti dal consulente tecnico sono
  intrinsecamente irripetibili in quanto modificano
  linformazione contenuta nel supporto o alterano
  le caratteristiche della comunicazione
• Evanescenza
• gli elementi di prova più significativi
  (rivelatori della condotta del soggetto indagato)
  sono individuabili nelle tracce delle
  comunicazioni e dei processi di elaborazione
  (buffer e cache) che sono soggette a continue
  modifiche

6
Gli strumenti informatici per lanalisi
forenseIl ruolo dellanalista forense

• Nel corso delle indagini preliminari
• come ausiliario di Polizia Giudiziaria esegue le
  operazioni e le analisi necessarie o utili alla
  prosecuzione delle indagini
• come consulente tecnico del P.M. o come
  consulente di parte esegue o assiste
  allesecuzione degli accertamenti irripetibili
• Nel corso degli incidenti probatori
• come consulente del Giudice esegue gli
  accertamenti che saranno assunti come prove nel
  successivo dibattimento
• Nel corso del dibattimento
• come consulente del Giudice o di parte interpreta
  ed espone le evidenze raccolte e/o prodotte in
  giudizio

7
Gli strumenti informatici per lanalisi
forenseGli strumenti dellanalisi forense

• Strumenti metodologici
• consapevolezza del ruolo rivestito e dei limiti
  della propria azione
• rigore scientifico nellesecuzione delle attività
  richieste
• adozione di metodologie riconosciute
• Strumenti tecnici
• strumenti per lacquisizione delle informazioni
  dai supporti originali
• strumenti per la selezione e lanalisi delle
  informazioni raccolte
• strumenti per la decodifica / decrittazione delle
  informazioni raccolte
• (strumenti per la presentazione dei risultati
  dellanalisi)

Nel seguito si farà riferimento allacquisizione
e successiva analisi del contenuto della memoria
di massa di un comune personal computer
8
Gli strumenti informatici per lanalisi
forenseEsempio - Acquisizione delle informazioni

• Rilievo delle caratteristiche dellhardware e del
  suo contesto ambientale
• verifica dellorologio di sistema
• Acquisizione del contenuto della memoria di massa
• acquisizione dellimmagine del disco fisso
• acquisizione dei soli file (escluso spazio non
  utilizzato)
• acquisizione dei soli file con esclusione dei
  file noti(v. progetto NSRL (National Software
  Reference Library) del NIST)(www.nsrl.nist.gov)
• NOTA la sola acquisizione del contenuto può
  richiedere da alcuni minuti a diverse ore a
  seconda del livello di completezza richiesto

9
Gli strumenti informatici per lanalisi
forenseEsempio Analisi preliminare

• Analisi della configurazione software (programmi
  installati)
• permette allanalista di familiarizzare con il
  sistema, oltre che di individuarne lutilizzo
  prevalente
• Ricerca della presenza di virus o altro malware
• la presenza di malware in part. trojans può
  indebolire limputabilità delle evidenze al
  soggetto indagato
• Analisi delle attività recenti
• analisi dei registri di configurazione (file
  recenti)
• analisi delle registrazioni storiche (file di
  log)
• analisi delle aree temporanee (buffer e cache)

10
Gli strumenti informatici per lanalisi
forenseEsempio Analisi approfondita

• Analisi di documenti selezionati
• decodifica del contenuto
• analisi dei metadati
• Analisi delle anomalie
• es. contenuto/dimensioni non coerenti con
  lestensione del file
• Tentativo di decrittazione di eventuali file
  criptati
• dictionary-based attack, brute-force attack
• Data Mining
• le tecniche di data mining (spec. testuale) sono
  state utilmente applicate allanalisi di massa
  della documentazione raccolta

11
Gli strumenti informatici per lanalisi
forenseAlcune considerazioni

• Un HDD tipico contiene approx. 40 GB di
  informazione (paria a ca. 4000-8000 volumi a
  stampa) distribuiti in circa 200.000 file
• lanalisi riduce di molti ordini di grandezza
  linformazione che poi viene effettivamente
  valutata dal Giudice
• In genere sono possibili più interpretazioni
  delle evidenze raccolte
• lanalista forense deve essere in grado di
  sostenere in un contradditorio le proprie
  conclusioni
• Quanto sono affidabili gli strumenti utilizzati ?
• il progetto NIST / CFTT (Computer Forensic Tools
  Testing)

12
Gli strumenti informatici per lanalisi
forenseConclusioni

• Lanalisi forense si configura come una
  disciplina autonoma, molto articolata
  internamente (mobile f. network f.)
• Richiede competenze di natura interdisciplinare
  informatiche e giuridiche insieme
• Ogni analisi è un caso a sé lanalista forense
  deve essere pronto ogni volta ad approfondire
  tecnologie nuove (hardware e software)
• Le competenze richieste ed il costo delle
  consulenze crea un enorme squilibrio tra accusa
  (che può disporre di organi tecnici estremamente
  specializzati) e difesa (che deve comunque
  ricorrere al mercato)