Live Forensics - Dipartimento di Informatica ed Applicazioni ...

Introduzione
1. Introduzione
Live Forensics
Novembre 2011
La Computer Forensics è la scienza che studia l'individuazione, la conservazione, la
protezione, l'estrazione, la documentazione e ogni altra forma di trattamento del dato
informatico al fine di essere valutato in un processo giuridico e studia, ai fini probatori, le
tecniche e gli strumenti per l'esame metodologico dei sistemi informatici [1] [2].
Essendo una materia di recente nascita e quindi in via di sviluppo (la sua nascita si colloca
intorno al 1980 ad opera dei laboratori tecnici della FBI), è al costante inseguimento della
tecnologia. Ciò è causato dal fatto che i computer crescono di numero e di capacità, gli
hard disk sono sempre più grandi e le memorie si sprecano in vari dispositivi, dai DVD,
alle USB Flash Memory, alle memory card, ai cellulari etc.
L'autorità giudiziaria è messa in difficoltà dalla continua evoluzione degli apparati
elettronici contenenti dati alterabili e talvolta deperibili. A partire da queste
problematiche è necessario da parte degli investigatori del futuro adottare un protocollo
comune di repertaggio, di custodia e di analisi dei dati. La scelta comune degli strumenti
di repertaggio è caduta sull'Open Source Software (tutti quei programmi il cui codice è
disponibile) in modo tale da essere immuni da eventuali contestazioni a riguardo. In
Italia, la legge di riferimento per l'informatica forense è la Legge n.48/2008, nota come
"Legge di ratifica della Convenzione di Budapest".
In questo documento tratteremo della live forensics che è una disciplina collocata
all‟interno della computer forensics. Nel capitolo 2 verranno espletati i concetti di
computer forensics facendo riferimento all'ambito di applicazione, nello specifico
illustreremo l‟analisi post mortem e l‟analisi live. Nel capitolo 3 verranno analizzati alcuni
dei tool utilizzati nella computer forensics introducendo anche le distribuzioni contenenti
i suddetti tool. Nel capitolo 4 verranno mostrati tool specifici per: il dump della RAM,
l'analisi del dump della RAM, le informazioni sui processi in esecuzione ed il contenuto
della clipboard. Infine nel capitolo 5 verrà mostrato il caso di studio trattato con obiettivi
e risultati ottenuti.
3