Il termine informatica forense si riferisce all’indagine sui computer. L’analisi forense digitale include non solo i computer, ma anche qualsiasi dispositivo digitale, come reti digitali, telefoni cellulari, unità flash e fotocamere digitali.
Lo scopo dell’informatica e dell’analisi forense digitale è determinare se un dispositivo è stato utilizzato per scopi illegali, che vanno dall’hacking informatico all’archiviazione di materiale pornografico illegale o registrazioni di altre attività illegali.
Digital Forensics: peculiarità e campi di applicazione
Al di fuori dell’ambito penale, i campi di applicazione che riguardano la Digital Forensic sono molti e riguardano soprattutto le materie aziendali.
- cybrsecurity;
- prevenzione di attacchi informatici;
- furti d’identità;
- individuazione di cyber-criminali;
- azioni di dipendenti infedeli;
- manomissione e diffusione di documenti riservati;
- trafugamento dati.
Quando viene commesso un reato informatico, bisogna condurre un’indagine forense per estrapolare i dati necessari dai dispositivi, mobili e non, e per fare questo conviene rivolgersi a professionisti e successivamente adempiere le vie legali.
Tramite la Digital Forensics si può identificare il colpevole di un reato, confermare o invalidare una confessione o un alibi, stabilire la paternità di una azione, verificare azioni e movimenti di un soggetto, prevenire e/o contrastare un attacco hacker.
Quasi tutto è tracciato dai stessi dispositivi e analizzarne i dati può essere risolutivo in controversie o in cause legali. Alla base di tutto, però, è indispensabile possedere prove digitali utilizzabili in sede di giudizio.
Evidenze digitali e prove forensi
Le evidenze digitali sono documenti non passibili di alterazione riprodotti con tecnologie all’avanguardia, come la copia forense. Solo così costituiscono un elemento con valore probatorio. Le prove forensi devono essere integre e autentiche: durante la fase di acquisizione dei dati non devono esserci alterazioni, i dati devono essere integri, originale e copia, e l’autenticazione deve garantire l’integrità del documento. Si tratta di un lavoro che deve essere eseguito da esperti di analisi digitali forensi nel corso di indagini digitali forensi, data la facilità con cui si possono manomettere documenti digitali.
La prevenzione e protezione sono le armi che un’azienda deve possedere in ambito di cybercrime. Ormai per le aziende è obbligatorio dotarsi di elevati sistemi di sicurezza per far fronte agli attacchi informatici sempre più aggressivi ed evoluti. La Digital Forensics è resa efficace dalle diverse figure professionali che la caratterizzano, professionisti specializzati e sempre aggiornati sulle criticità e i pericoli della rete.
Computer Forensics: dall’identificazione dei dati al report
La computer forensics è una branca della digital forensics e si occupa del trattamento di dati digitali di tipo computer, PC, notebook, laptop, hard disk da utilizzare come prova in un processo.
Le fasi del trattamento del dato digitale sono: identificazione, raccolta, acquisizione, analisi e presentazione. In particolare, rientrano nelle competenze della computer forensics le attività relative a:
- reati informatici in senso stretto;
- reati commessi per mezzo di dispositivi informatici;
- ogni condotta per la quale un dato informatico può essere recuperato da uno o più sistemi informatici (ad esempio, recupero di messaggi Whatsapp cancellati contenenti l’organizzazione di un omicidio).
Le fasi della computer forensics:
- Identificazione. La computer forensics prevede l’identificazione dei dati informatici rilevanti, in particolare di hard disk, computer, laptop, portatili, chiavette USB. La computer forensics in senso stretto non si occupa di smartphone, tablet e telefoni cellulari che invece rientrano nella competenza della mobile forensics.
- Raccolta. Dopo l’identificazione, occorre fisicamente disporre dei sistemi contenenti i dati di interesse. Nella fase di raccolta, chi si occupa di informatica forense procede allo smontaggio dei supporti e alla messa in sicurezza per il trasporto e la conservazione sicura dei dispositivi.
- L’acquisizione nella computer forensics. Una volta rilevati i dispositivi di interesse, questa attività si occupa della duplicazione dei dati mediante specifici tool forensi come i copiatori hardware e write blocker. Al termine dell’acquisizione l’insieme dei dati raccolti è caratterizzato da un digest che verifica in ogni momento l’integrità della copia forense prodotta.
Se effettuata correttamente, la fase di acquisizione è ripetibile in un momento successivo, utilizzando lo stesso strumento o anche software di acquisizione e procedure diverse da quelle della prima volta.
- Analisi, valutazione e report. L’analisi forense della copia prodotta in fase di acquisizione è trattata attraverso specifici software selezionati in base al tipo di richiesta. L’insieme dei risultati della fase di analisi vanno poi collegati tra loro per effettuare una valutazione completa dei dati trattati. Infine, i dati raccolti e valutati confluiscono in una relazione tecnica di computer forensics che può essere utilizzata come documento da produrre nel corso di un procedimento.
