Il laboratorio ha ampliato la propria dotazione tecnica con l’acquisto di un ulteriore Logicube Falcon NEO, destinato alla duplicazione forense dei supporti digitali, e di un nuovo Logicube WriteProtect Portable. Con questo investimento i sistemi Falcon disponibili salgono complessivamente a tre, consentendo di acquisire fino a sei dischi contemporaneamente e di ridurre sensibilmente i tempi necessari alla lavorazione dei reperti.
Che cos’è un duplicatore forense
Un duplicatore forense è uno strumento progettato per acquisire il contenuto di hard disk, unità SSD, memorie USB e altri supporti digitali mediante procedure controllate e documentabili. Il suo impiego non consiste nella semplice copia dei file visibili, ma nella creazione di una copia forense destinata alle successive attività di indicizzazione e analisi.
In base al quesito investigativo e alle caratteristiche del reperto, l’acquisizione può riguardare l’intero supporto, una singola partizione oppure determinati dati selezionati. La duplicazione integrale permette di riprodurre non soltanto i file normalmente accessibili, ma anche le strutture del file system, lo spazio non allocato e gli ulteriori dati che possono assumere rilevanza durante l’analisi.
Il Logicube Falcon NEO è un sistema autonomo di acquisizione forense compatibile con differenti tipologie e interfacce di memorizzazione. Permette di eseguire operazioni di imaging, clonazione, verifica e calcolo degli hash, producendo inoltre i registri tecnici relativi alle attività effettuate.
Come avviene l’acquisizione di un supporto digitale
Prima dell’acquisizione il supporto viene identificato e documentato. Successivamente viene collegato al duplicatore attraverso una porta sorgente protetta in scrittura, mentre un secondo supporto viene utilizzato come destinazione della copia.
Il Falcon legge progressivamente i dati presenti sul reperto e li trasferisce nel formato selezionato. Durante l’operazione vengono visualizzati lo stato di avanzamento, la quantità di dati acquisiti, la velocità di trasferimento e il tempo stimato per il completamento.
Al termine della duplicazione, la corrispondenza tra il supporto sorgente e la copia viene controllata mediante i valori di hash e i registri generati dallo strumento.
A che cosa serve un write blocker
Il write blocker è uno degli strumenti fondamentali nelle attività di informatica forense. Viene collocato tra il supporto originale e il sistema utilizzato per l’acquisizione o per l’esame preliminare, consentendo l’accesso ai dati in modalità di sola lettura.
Il suo compito è impedire che il computer o il software utilizzato dall’operatore possa inviare al reperto comandi capaci di modificarne il contenuto. Anche il semplice collegamento di un disco a un sistema operativo può infatti determinare l’aggiornamento automatico di metadati, file di sistema o altre strutture logiche.
Il Logicube WriteProtect Portable consente l’accesso protetto a supporti SATA, USB e PCIe e, mediante gli appositi adattatori, a differenti tipologie di unità SSD M.2. La connessione USB 3.0 verso la workstation permette di utilizzare il dispositivo sia in laboratorio sia durante le attività operative effettuate sul posto.
Il write blocker non realizza direttamente la copia forense: permette di leggere il supporto originale impedendo operazioni di scrittura. L’acquisizione viene successivamente eseguita dal duplicatore o dal software forense collegato.
Tre sistemi Falcon per acquisire fino a sei dischi contemporaneamente
Con il nuovo acquisto la dotazione del laboratorio raggiunge complessivamente tre sistemi Logicube Falcon. L’organizzazione delle postazioni consente ora di acquisire fino a sei dischi nello stesso momento, distribuendo le lavorazioni tra più unità indipendenti.
Questo incremento assume particolare rilievo nei procedimenti che coinvolgono numerosi computer o supporti di archiviazione. Le acquisizioni, soprattutto quando interessano dischi di elevata capacità, possono richiedere diverse ore. La possibilità di lavorare in parallelo riduce i tempi complessivi senza rinunciare ai controlli previsti dalla metodologia forense.
La durata effettiva di ogni operazione dipende dalla tecnologia e dalle condizioni del supporto sorgente, dall’interfaccia utilizzata, dalle prestazioni del disco di destinazione, dal formato della copia e dalle modalità di verifica impostate. Il potenziamento riguarda quindi soprattutto la capacità operativa complessiva del laboratorio.
Integrità e verificabilità della copia forense
Durante l’acquisizione vengono calcolati uno o più valori di hash, ossia impronte matematiche associate ai dati acquisiti. Il confronto tra i valori ottenuti dalla sorgente e quelli della copia consente di verificare che il contenuto sia stato riprodotto correttamente.
L’hash deve essere correlato con l’identificazione del reperto, le modalità di collegamento, la configurazione dell’acquisizione, i log prodotti dallo strumento e la documentazione delle operazioni. Questi elementi permettono di ricostruire e verificare il percorso che ha condotto dal supporto originale alla copia sottoposta ad analisi.
Il supporto e le relative caratteristiche vengono identificati e documentati.
Il reperto viene collegato attraverso una porta protetta o un write blocker.
Il duplicatore genera la copia forense nel formato previsto.
Gli hash e i log consentono di controllare il risultato dell’operazione.
Una maggiore capacità operativa per le attività più complesse
L’ampliamento della dotazione risponde alla crescente quantità di dati contenuti nei reperti digitali e alla necessità di gestire incarichi nei quali devono essere acquisiti numerosi supporti in tempi contenuti.
I tre sistemi Falcon permettono di organizzare più flussi di lavoro indipendenti, evitando che l’acquisizione di un singolo disco blocchi le altre operazioni. Il WriteProtect Portable aggiunge inoltre una postazione flessibile per l’accesso protetto a differenti tipologie di supporto.
L’aumento della capacità operativa non modifica i principi della corretta acquisizione forense: il dato originale deve essere preservato, ogni attività deve essere documentata e il risultato deve poter essere verificato. Il nuovo investimento permette di applicare questa metodologia a un numero maggiore di reperti contemporaneamente, riducendo i tempi tecnici necessari alla lavorazione.
