Acquisiamo e preserviamo i dati presenti su PC, notebook e unità di memorizzazione con procedure definite in base al sistema, al supporto e all’obiettivo dell’incarico.
La copia forense di un computer è un’acquisizione tecnica dei dati presenti nelle sue unità di memorizzazione, come HDD, SSD o altri supporti. Può riguardare sistemi Windows, macOS e Linux, computer fissi, notebook oppure singoli dischi rimossi dal dispositivo.
A differenza di una normale copia di file, l’attività viene pianificata per documentare la sorgente, gli strumenti e i passaggi eseguiti. Quando tecnicamente applicabile, l’acquisizione integrale comprende anche aree non allocate, metadati e strutture del file system non visibili durante l’uso ordinario.
La copia costituisce la base tecnica su cui svolgere l’eventuale analisi, limitando l’interazione con il supporto originale e rendendo verificabili i risultati ottenuti.
La modalità viene scelta in funzione del quesito, del supporto, della cifratura, dei tempi disponibili e della necessità di mantenere operativo il sistema.
Mira a riprodurre il contenuto dell’unità di memorizzazione settore per settore, quando il supporto e l’architettura lo consentono. È la modalità più completa per ricostruire file system, metadati, partizioni e aree non allocate.
Raccoglie file, cartelle o volumi accessibili senza realizzare necessariamente l’immagine completa del supporto. Può essere indicata quando l’acquisizione integrale non è praticabile o quando il perimetro deve essere limitato.
Il potenziale recupero di dati cancellati dipende dal tipo di supporto, dalla cifratura, da TRIM, dalla sovrascrittura e dallo stato del dispositivo.
Viene eseguita sul computer acceso quando è necessario preservare lo stato operativo, acquisire dati volatili dalla RAM o accedere a volumi già decifrati. Può consentire di rilevare processi, connessioni, sessioni e chiavi presenti in memoria, se disponibili.
Poiché qualsiasi attività su un sistema acceso può modificarne lo stato, gli interventi vengono ridotti al minimo e documentati.
Viene eseguita con il computer spento, avviando un ambiente forense controllato oppure collegando l’unità a un sistema di acquisizione esterno. Quando applicabile, consente di proteggere il supporto dalla scrittura e lavorare senza avviare il sistema installato.
Nelle acquisizioni offline, quando l’architettura e il supporto lo consentono, vengono impiegati sistemi di protezione dalla scrittura hardware o software. Il write blocker impedisce al sistema di acquisizione di modificare involontariamente l’unità originale.
Le impronte hash vengono calcolate e registrate sui risultati acquisiti per consentire successive verifiche di integrità. Il verbale tecnico descrive sorgente, identificativi disponibili, strumenti, modalità operative, tempi e valori di controllo.
Nelle acquisizioni live il write blocker non protegge l’intero sistema. L’attività avviene su una macchina in esecuzione e le modifiche inevitabili devono essere limitate e documentate.
Dopo l’acquisizione, i dati pertinenti vengono indicizzati, correlati e interpretati in relazione al quesito tecnico.
Contenuti, proprietà, metadati, versioni e informazioni temporali disponibili.
File o frammenti residui, se non sovrascritti, cifrati o rimossi dai meccanismi del supporto.
Tracce relative a supporti USB e periferiche, quando registrate dal sistema operativo.
Cronologia, download, cache e possibili tracce di sessioni private, se ancora presenti in altri artefatti.
Accessi, esecuzione di programmi, file recenti, eventi e sequenze temporali ricostruibili.
Email, archivi locali, database e artefatti delle applicazioni pertinenti all’incarico.
Identifichiamo computer, unità, sistema operativo, cifratura, stato di accensione e obiettivo dell’incarico. Concordiamo perimetro, modalità e supporti necessari.
Documentiamo lo stato del sistema e adottiamo le misure più adatte per ridurre il rischio di alterazione o perdita delle informazioni disponibili.
Realizziamo la copia nel formato appropriato e registriamo le impronte hash dei risultati, ove applicabile, insieme ai passaggi tecnici rilevanti.
La copia viene conservata o riversata sui supporti concordati. L’eventuale analisi viene svolta separatamente, sulla base del quesito e dei dati pertinenti.
Lo stato del computer può essere determinante, soprattutto in presenza di cifratura. Prima di spegnerlo, accenderlo o scollegarlo, è preferibile richiedere indicazioni tecniche.
Descrivici lo stato del sistema, la presenza di cifratura e l’urgenza. Ti indicheremo come conservarlo fino alla presa in carico.
Richiedi indicazioniTre attività collegate, ma con finalità differenti.
Preserva i dati acquisibili e documenta le operazioni svolte sul computer o sul supporto.
Ricerca, correla e interpreta gli artefatti pertinenti al quesito tecnico.
Descrive metodo, risultati e limiti dell’attività nel contesto dell’incarico.
No. Il risultato dipende da sovrascrittura, cifratura, tipo di file system e tecnologie come TRIM, particolarmente rilevanti sugli SSD.
Non sempre. La procedura può essere effettuata sul computer, tramite ambiente forense, oppure collegando separatamente il supporto a strumentazione dedicata.
Dipende dalla tecnologia utilizzata, dallo stato del sistema e dalle credenziali disponibili. In alcuni casi l’acquisizione live è necessaria per preservare l’accesso al volume decifrato.
Dipende da numero, capacità e stato delle unità, velocità delle interfacce, errori di lettura e modalità di acquisizione. La stima viene fornita dopo la valutazione preliminare.
Indicaci tipo di computer, sistema operativo, numero e capacità dei supporti, stato di accensione, eventuale cifratura, urgenza e obiettivo dell’attività.