Live Forensics - Dipartimento di Informatica ed Applicazioni ...

Live Forensics
Novembre 2011
disk oggetto di investigazione. Esso viene generalmente posto tra il disco e il computer
utilizzato per esaminarlo. Ci sono tre tipologie di write blocker:
Firmware based: tramite il BIOS che inibisce ogni tipo di scrittura sul disco
d‟origine
Software based: software di basso livello che impedisce qualsiasi scrittura sulla
memoria di massa considerata. In questo caso non è più il BIOS a impedire
l‟alterazione, ma il sistema operativo.
Hardware based: dispositivo elettronico che taglia il bus di comunicazione tra
l‟unità su cui si stanno copiando i dati e la scheda madre del computer analizzato.
E‟ come un intermediario che inibisce qualsiasi modifica ai dati del dispositivo
incriminato, mettendo al sicuro l‟analisi dagli errori umani e da eventuali bug.
Oltre a tutto ciò è necessario anche che l‟operatore abbia una certa esperienza e una
sorta di “sesto senso”, infatti come su una vera e propria scena del crimine, le evidenze
possono essere nascoste in posti introvabili (protette da password, nascoste dentro
immagini [steganografia], server internet). A volte, per risparmiare tempo e andare a
colpo sicuro nella ricerca dei reperti, può essere utile un profiling del sospettato
dedicando un po‟ di tempo al suo profilo psicologico per facilitare la ricerca delle
evidenze. Due approcci possono essere quello deduttivo, adattando l‟idea generale che si
ha del colpevole al caso specifico del crimine commesso, o induttivo, avvalendosi di
un‟analisi statistica del caso particolare per poi risalire a una descrizione più generale.
2.1.2 Analisi live
Quando non si può fare a meno di agire sulla scena del crimine, cosa succede? Talvolta
l‟analisi deve iniziare prima della copia o del sequestro fisico.
La procedura che per anni è stata considerata la migliore possibile è quella della
catalogazione dei reperti fisici dei personal computer. Questa prassi operativa è stata
sempre applicata con l‟apparente certezza che il computer sulla scena del crimine fosse
stato spento ma, in realtà, senza assicurarsi che il sistema operativo ne fosse avveduto.
Esempio: Spegnimento forzato mediante l'interruzione dell‟alimentazione elettrica.
8