Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La Digital Forensics è la disciplina che consente di individuare, acquisire, preservare e analizzare le informazioni digitali per trasformarle in evidenze affidabili. Viene impiegata sia nelle indagini giudiziarie sia nella risposta a incidenti di sicurezza, permettendo di ricostruire eventi attraverso log, metadati, file e memoria. L’articolo illustra come un accesso notturno a un gestionale, l’esportazione di documenti e l’analisi dei dispositivi possano fornire indizi, ma anche evidenziare i limiti delle prove digitali quando i dati sono incompleti o non accessibili.
Un accesso a un sistema, un messaggio cancellato o un file modificato possono aiutarci a capire che cosa è accaduto. Ma trovare una traccia digitale non vuol dire necessariamente aver trovato una prova di ciò che sospettiamo. La Digital Forensics permette di individuare, acquisire, preservare e analizzare informazioni digitali. Viene utilizzata nelle indagini giudiziarie, negli incidenti informatici e in altri contesti in cui occorre ricostruire un evento. Il lavoro non si esaurisce nel recupero dei dati: bisogna comprenderne il significato, verificarne l’affidabilità e riconoscere ciò che non siamo in grado di dimostrare.
Un’azienda scopre che qualcuno ha effettuato un accesso al proprio gestionale durante la notte. Nel registro delle attività compaiono un account, un indirizzo IP e un orario preciso: le 02:14. L’account è assegnato a un dipendente. Poco dopo quell’accesso, il sistema registra anche un’operazione di esportazione di alcuni documenti aziendali. La prima ricostruzione sembra abbastanza semplice. Qualcuno è entrato nel gestionale utilizzando le credenziali del dipendente e ha esportato dei documenti. Ma è stato davvero lui?
Le credenziali potrebbero essere state sottratte. Qualcuno potrebbe aver utilizzato una sessione già autenticata, oppure essersi collegato attraverso un dispositivo diverso da quello abitualmente utilizzato dal dipendente. Anche l’indirizzo IP, da solo, potrebbe non identificare la persona che ha effettuato l’accesso. Il registro ci dice che il sistema ha osservato determinate attività associate a un account. Per attribuirle a una persona servono altri elementi.
Per il momento abbiamo una traccia, una possibile spiegazione e diverse domande ancora aperte. Ed è proprio su questa distanza tra ciò che troviamo e ciò che possiamo sostenere che interviene la Digital Forensics.
La Digital Forensics, o informatica forense, utilizza metodi e tecniche per individuare, acquisire, preservare, esaminare e interpretare informazioni digitali potenzialmente rilevanti per un accertamento. Queste informazioni possono costituire evidenze digitali, o digital evidence, quando sono utili a dimostrare o chiarire circostanze relative a un evento. Non dobbiamo pensare necessariamente a un documento nascosto, a una fotografia cancellata o a una password recuperata.
Le tracce possono trovarsi nei registri di un server, nella memoria di uno smartphone, nei dati di un’applicazione, su un dispositivo di archiviazione o all’interno di un servizio cloud. Persino un tentativo di accesso fallito può diventare interessante, se ci aiuta a ricostruire una sequenza di attività. Nel nostro gestionale abbiamo già due informazioni: un’autenticazione alle 02:14 e un’esportazione di documenti registrata poco dopo. Potremmo cercare gli accessi precedenti, verificare quali dispositivi siano stati utilizzati, confrontare gli indirizzi IP o esaminare altre attività associate all’account. Ogni elemento aggiuntivo potrebbe confermare parte della ricostruzione iniziale. Oppure modificarla.
Supponiamo, per esempio, che il sistema registri l’esportazione alle 02:16. Prima di affermare che i documenti siano stati effettivamente scaricati, dovremmo capire che cosa rappresenti quell’evento. Il gestionale registra l’avvio dell’esportazione o il suo completamento? La generazione di un archivio oppure l’effettivo trasferimento dei dati? Sono informazioni diverse, anche se nell’interfaccia potrebbero apparire sotto la stessa voce.
Se il sistema registra soltanto l’avvio dell’operazione, non possiamo utilizzare quel singolo evento per dimostrare che tutti i documenti siano arrivati a destinazione. Potremmo cercare una conferma nei registri del server, nelle attività successive o nelle informazioni disponibili sul dispositivo utilizzato. Il dato iniziale rimane utile. Semplicemente, non racconta ancora tutta la storia.
Durante l’esame del computer assegnato al dipendente troviamo una copia dei documenti presenti nel gestionale. I file sono leggibili e il contenuto corrisponde a quello cercato. Potrebbe sembrare la conferma che mancava. Abbiamo l’accesso notturno, l’esportazione registrata dal server e gli stessi documenti sul computer. Eppure rimane un problema.
Quei file potrebbero essere stati scaricati durante la sessione delle 02:14, ma potrebbero anche essere arrivati sul dispositivo in un altro momento. Magari attraverso una sincronizzazione automatica, una precedente operazione di copia o un diverso canale di trasferimento. Per capire quale spiegazione sia più compatibile con le informazioni disponibili possiamo esaminare i metadati, gli artefatti del sistema operativo, la cronologia delle applicazioni e le eventuali tracce di trasferimento.
Prendiamo le date dei file. Se un documento presenta come data di creazione le 02:18, siamo portati a collegarla all’esportazione registrata due minuti prima. La sequenza sembra coerente. Non è detto, però, che quella data indichi quando il documento sia stato effettivamente prodotto. Potrebbe riferirsi al momento in cui la copia è stata creata sul filesystem. Un file trasferito da un altro dispositivo può acquisire nuovi metadati, mentre altre informazioni possono essere conservate o modificate dalle applicazioni utilizzate.
C’è poi il problema degli orari registrati dai diversi sistemi. Se il server utilizza UTC e il computer mostra l’ora locale, confrontare i valori senza considerarne il riferimento temporale potrebbe portarci fuori strada. Sono verifiche che acquistano importanza quando cerchiamo di collegare eventi apparentemente distinti. I software forensi ci aiutano molto in queste attività.
Possono recuperare file cancellati, leggere metadati, individuare artefatti, organizzare conversazioni e costruire cronologie a partire da grandi quantità di informazioni. Il problema nasce quando interpretiamo il risultato senza considerare come sia stato ottenuto. Se un software mostra un documento creato alle 02:18, sta riportando un’informazione ricavata dai dati esaminati. Non sta dimostrando, per questo solo fatto, che il dipendente abbia prodotto o scaricato il documento a quell’ora.
Quel passaggio richiede ulteriori elementi e una valutazione dell’analista. In alcuni casi riusciremo a ricostruire con buona affidabilità il percorso seguito dai file. In altri, anche dopo diverse verifiche, dovremo lasciare aperte più spiegazioni.
C’è un aspetto che spesso emerge soltanto quando si deve intervenire su un sistema reale. Il computer da esaminare potrebbe essere ancora acceso, collegato alla rete e con diverse applicazioni in esecuzione. Possiamo iniziare subito a utilizzarlo per cercare i documenti? Potremmo farlo, ma dobbiamo considerare che ogni attività può modificare qualcosa. L’apertura di un programma può generare file temporanei. Il sistema operativo continua ad aggiornare registri e metadati. Una sincronizzazione può intervenire su contenuti presenti localmente o su servizi remoti.
Anche spegnere il computer comporta delle conseguenze. Se il disco è cifrato e si trova già sbloccato, potremmo perdere una condizione di accessibilità importante. Inoltre, nella memoria RAM potrebbero essere presenti informazioni che non sopravviverebbero allo spegnimento. Lasciare il dispositivo acceso non è però una soluzione automaticamente migliore. Processi attivi, connessioni remote e applicazioni possono continuare a modificare i dati che vorremmo conservare.
Non sempre abbiamo la possibilità di preservare tutto nelle condizioni ideali. A volte occorre scegliere tra acquisire subito informazioni che rischiano di scomparire e limitare gli interventi su un sistema del quale non conosciamo ancora completamente lo stato. Quando le condizioni lo consentono, possiamo realizzare una copia forense del supporto o acquisire determinate categorie di dati attraverso procedure controllate.
La copia permette di lavorare sul materiale raccolto limitando gli interventi successivi sulla sorgente. Durante l’acquisizione e le verifiche successive vengono utilizzati anche gli hash crittografici. Un hash consente di confrontare i dati sottoposti al controllo in momenti differenti. Se i valori corrispondono, utilizzando lo stesso algoritmo e gli stessi dati, abbiamo un elemento tecnico per verificarne l’integrità rispetto al riferimento precedente.
Questo controllo, però, ha un limite preciso. Un documento modificato il giorno precedente può essere acquisito correttamente, conservato senza ulteriori alterazioni e produrre verifiche di integrità perfettamente coerenti. L’hash non ci dirà che cosa sia successo prima dell’acquisizione. Per ricostruire quella parte della storia serviranno altre informazioni, se ancora disponibili.
Le linee guida ISO/IEC 27037 e le buone pratiche dello SWGDE affrontano le attività di identificazione, raccolta, acquisizione e preservazione delle evidenze digitali. Nella pratica, tuttavia, un disco scollegato, uno smartphone acceso e un computer con un volume cifrato già sbloccato richiedono valutazioni differenti. Lo stesso vale quando i dati si trovano su un servizio remoto.
Se parte dei documenti aziendali è conservata soltanto nel cloud, acquisire il disco del computer potrebbe non essere sufficiente. Dovremmo valutare anche quella sorgente, le modalità con cui possiamo accedervi e le autorizzazioni disponibili.
La scelta effettuata, insieme alle operazioni eseguite e alle eventuali modifiche prodotte sul sistema, dovrà essere documentata. Chi esaminerà successivamente il materiale deve poter comprendere in quali condizioni sia stato raccolto.
Riprendiamo l’esame del computer. Il software forense ha completato l’analisi, ma non ha individuato tracce del download dei documenti. Non risultano neppure file cancellati riconducibili all’esportazione. Possiamo affermare che l’operazione non sia mai avvenuta? No, almeno non sulla base di quel solo risultato. Forse abbiamo esaminato il dispositivo sbagliato. Oppure i documenti sono stati scaricati altrove.
Potrebbe anche essere successo che il sistema non abbia mai registrato un’informazione utile, o che i dati necessari siano stati eliminati o sovrascritti prima dell’acquisizione. Rimane inoltre da capire che cosa il software abbia realmente esaminato. Un’analisi può terminare regolarmente senza aver processato ogni contenuto disponibile. Alcuni formati potrebbero non essere supportati, determinati artefatti non riconosciuti oppure alcune sorgenti non accessibili.
Immaginiamo di avere acquisito 500 GB da un computer. Il software completa la procedura senza segnalare problemi rilevanti, ma nel materiale è presente un archivio cifrato che non è stato possibile aprire. La ricerca dei documenti non restituisce risultati. Se quei documenti si trovassero proprio nell’archivio, il risultato negativo non ci permetterebbe di individuarli. Non possiamo neppure sostenere che vi siano: non ne abbiamo esaminato il contenuto.
Possiamo invece documentare che una parte del materiale è rimasta inaccessibile e che la ricerca non ha coperto quei dati. Il report potrebbe comunque mostrare zero risultati. Chi legge soltanto quel numero potrebbe non accorgersi della differenza. È per questo che dobbiamo conoscere non soltanto ciò che uno strumento ha trovato, ma anche le parti del materiale che non è riuscito a esaminare. Se un’attività non è stata rilevata, prima di utilizzarne l’assenza come elemento a sostegno di una conclusione dovremmo capire se le sorgenti analizzate avrebbero potuto conservarne una traccia. Altrimenti rischiamo di trasformare una ricerca senza risultati in una certezza che i dati non giustificano.
L’accesso notturno al gestionale potrebbe essere oggetto di un’indagine giudiziaria, ma anche di un accertamento interno dopo un incidente di sicurezza. Le domande tecniche sarebbero in parte le stesse. Cambierebbero il contesto, le finalità dell’analisi e le decisioni da prendere. Pensiamo a un attacco ransomware. Un’organizzazione scopre che alcuni server sono stati cifrati e che diversi servizi non sono più disponibili. Bisogna contenere l’incidente, evitare che la compromissione si estenda e ripristinare le attività essenziali.
Ma bisogna anche capire che cosa sia successo. Quale sistema è stato compromesso per primo? Sono state utilizzate credenziali legittime? Quali altri dispositivi potrebbero essere coinvolti? Ci sono elementi che indicano un possibile trasferimento di dati prima della cifratura? Le tecniche di Digital Forensics possono contribuire a rispondere attraverso l’esame di registri, dispositivi, memoria, connessioni e altri artefatti.
Le informazioni ottenute possono orientare le attività di contenimento, aiutare a valutare l’estensione dell’incidente e supportare le successive decisioni di ripristino. Il NIST affronta l’integrazione delle tecniche forensi nella risposta agli incidenti nella Special Publication 800-86. Le difficoltà legate agli ambienti cloud sono trattate anche nella NIST SP 800-201.
La disciplina trova applicazione anche nelle frodi informatiche, nelle controversie aziendali, nella sottrazione di informazioni e nell’analisi di dispositivi coinvolti in procedimenti giudiziari. Non è necessario che vi sia sempre un reato. Può essere utile ogni volta che dobbiamo ricostruire un evento attraverso dati digitali, nel rispetto delle autorizzazioni e delle regole applicabili. Non sempre, però, avremo a disposizione tutto quello che ci serve.
Alcuni registri potrebbero essere stati sovrascritti. Un dispositivo potrebbe non essere più disponibile. Parte delle attività potrebbe non aver lasciato tracce recuperabili. È una condizione con cui chi svolge analisi forensi deve confrontarsi. Torniamo all’accesso delle 02:14. Alla fine dell’esame potremmo riuscire a documentare che un account è stato utilizzato, che il gestionale ha registrato l’esportazione di alcuni documenti e che sul computer esaminato sono presenti file corrispondenti.
Potremmo anche individuare elementi che collegano tra loro quelle attività. Non è detto, però, che sia possibile identificare con sufficiente certezza la persona che ha utilizzato l’account. In quel caso non sarebbe corretto attribuirle l’accesso soltanto perché il suo nome compare nel registro. Potremo descrivere ciò che abbiamo osservato, indicare le verifiche effettuate e spiegare quali ricostruzioni sono compatibili con le informazioni raccolte. Dovremo anche precisare quali sorgenti non sono state esaminate e quali dubbi rimangono.
Non è sempre possibile arrivare alla risposta che inizialmente cercavamo. Talvolta possiamo ricostruire soltanto una parte degli eventi, oppure stabilire che una determinata ipotesi non trova conferma nel materiale disponibile. Anche questo è un risultato, purché venga rappresentato per quello che effettivamente dimostra. La Digital Forensics ci permette di arrivare fin dove ci portano le evidenze, senza nascondere ciò che resta incerto. Ed è su questa ricostruzione, con i suoi elementi verificati e i suoi limiti, che possiamo prendere decisioni e sostenere conclusioni tecnicamente difendibili.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].