Informatica forense

L'informatica forense è una branca della scienza digitale forense legata alle prove acquisite da computer e altri dispositivi con funzioni di memorizzazione digitale (fotocamere, videocamere, memorie di massa). Il suo scopo è quello di esaminare dispositivi digitali seguendo provedure di analisi forense al fine di identificare, preservare, recuperare, analizzare e presentare fatti o opinioni riguardanti le informazioni raccolte, al fine del loro eventuale utilizzo in un processo.

Storia

Il concetto di informatica forense emerge nei primi anni 1980, quando i personal computer cominciano a essere più accessibili ai consumatori, parallelamente però aumentando il loro utilizzo in attività criminali, e di conseguenza accrescono il numero di crimini identificati e riconosciuti come crimini informatici. L'informatica forense nasce quindi inizialmente come metodologia per il recupero e l'analisi di prove digitali da utilizzare di fronte a una corte. Da allora il numero di crimini informatici o legati all'informatica vede una crescita elevata, con un aumento del 67% dei casi tra il 2002 e il 2003.

A ad oggi l'informatica in ambito forense non è più solo uno strumento di analisi di dati e oggetti informatici ma uno dei principali mezzi di investigazione legato a diversi crimini. Tra questi sono inclusi la pedopornografia, lo spionaggio, il cyberstalking, l'omicidio, lo stupro e i vari tipi di frodi. Nei processi nei quali tale scienza è coinvolta, aumentano quindi le cosiddette "computer generated evidence", ossia le prove generate come output dai computer stessi, come ad esempio i dati estrapolati dell'analisi di informazioni associate alle celle radio, ai login a un Internet Service Provider, a una semplice segreteria telefonica o anche le reti sociali informatiche, come l'analisi forense dei social network.

Caratteristiche e finalità

L'utilizzo dell'informatica forense e della conoscenza maturata dagli esperti di tale scienza, permette di spiegare lo stato di ciò che prende il nome di artefatto digitale: come un sistema informatico, un dispositivo di memorizzazione, un documento digitale.

L'applicazione di tale disciplina viene largamente usata nelle indagini riguardanti una varietà di crimini nei quali le prove raccolte, soggette alle stesse pratiche e linee guida di ogni altra prova digitale, A tal scopo sono utilizzate tecniche e principi legati al recupero dei dati, affiancati però da procedure designate alla creazione di un percorso di revisione e analisi che sia legale.

Lo scopo di un'analisi forense può variare quindi dal recupero di semplici informazioni alla ricostruzione di una serie di eventi. Importante però è sottolineare come l'informatica forense, spesso riconosciuta come arte oltre che scienza, nonostante fornisca svariati metodi di estrazione di prove digitali e no, perde la sua flessibilità e conoscenza, sempre crescente, quando incontra l'applicazione della legge, giustamente rigida e carente di flessibilità.

I processi di investigazione dell'informatica forense seguono spesso gli standard di analisi forense digitale: acquisizione, esame, analisi e segnalazione. L'investigazione è prevalentemente eseguita su dati statici in un laboratorio di analisi (video e immagini recuperati) anziché sul "campo". Questa metodologia viene a consolidarsi principalmente con la nascita di specializzati e avanzati strumenti, inizialmente assenti o poco diffusi tra gli analisti forensi.

Analisi base

Le forme più semplici di analisi partono dalla consultazione manuale dei dispositivi, controllo dei sistemi operativi, del registro di sistema di Microsoft Windows, scoperta o crack, di password, ricerca di una determinata parola chiave correlate all'eventuale crimine, estrazione di posta elettronica, immagini e altre informazioni. In ogni caso, per eseguire un'investigazione forense esistono diversi strumenti informatici, anche software open source.

Analisi cross-drive

L'analisi cross-drive è una tecnica che permette di correlare informazioni estrapolate da più dischi rigidi, riconoscendo ad esempio possibili organizzazioni tra persone o riconoscendo anomalie di dati rispetto a specifici pattern.

Analisi live cd

Esami realizzati in modalità

live CD all'interno del computer sotto analisi attraverso l'uso di strumenti esistenti o creati ad hoc per l'estrazione di informazioni. Utile pratica nel caso di sistemi con Encrypting File System, nei quali si può ottenere la chiave di cifratura e spesso ottenere immagini del disco logico prima che il computer venga spento.

Analisi stocastica

Metodo di analisi che usa proprietà statistiche del sistema informatico analizzato per investigare su particolari attività in assenza di artefatti digitali dal quale cominciare le indagini.

Metodi antisteganografia

Tecniche utilizzate da esperti informatici forensi per combattere crimini associati a dati nascosti tramite la tecnica della steganografia (ad esempio mascherare dati all'interno di immagini alterandone i bit). Queste tecniche si basano sulla realizzazione e sul confronto degli hash ottenuti a partire dalle immagini originali e da quelle sotto analisi; questo perché un'immagine all'occhio identica risulterà avere un hash diverso se la sua codifica in bit è alterata.

Recupero di file eliminati

È una tra le più comuni tecniche implementate dai moderni software forensi. Molto spesso, sistemi operativi e file system non eliminano fisicamente i dati, permettendo così di ricostruirli a partire dai settori fisici del disco. Anche in caso di assenza di metadati associati al file system è possibile utilizzare tecniche di recupero note come file carving, per ottenere o ricostruire materiale eliminato.