Le 4 proprietà fondamentali dell'acquisizione
Ogni acquisizione deve garantire:
- Affidabilità: nessun dubbio sull'autenticità dei risultati
- Completezza: tutte le informazioni rilevanti, non solo quelle favorevoli a una parte
- Accuratezza: nessun errore nella raccolta
- Verificabilità: la metodologia è chiara e riproducibile — un altro investigatore deve poter arrivare allo stesso risultato partendo dagli stessi dati
Write Blocker
Prima di toccare qualsiasi dispositivo originale, si usa un write blocker: impedisce qualsiasi scrittura sul dispositivo sorgente, permettendo solo la lettura. Esistono due tipi:
|
Software |
Hardware |
| Costo |
Economico, nessun acquisto |
Richiede dispositivo dedicato |
| Svantaggio |
Non utilizzabile in alcuni scenari, va aggiornato con i nuovi standard |
Costo maggiore |
Il write blocker hardware si interpone fisicamente tra la workstation forense (interfaccia A) e il dispositivo sorgente (interfaccia B).
Immagini Forensi
Ci sono due modi per creare una copia esatta:
- Duplication: la destinazione è un altro disco fisso. Deve essere stessa marca, modello e taglia del sorgente. Si usano dispositivi chiamati forensic hardware duplicator, che integrano write blocking e verifica dell'hash. Vantaggio: molto rapido.
- Imaging: la destinazione è uno o più file. Si fa una copia bit-per-bit dei dati raw, senza aggiungere né modificare nulla. Non è una copia logica (che copierebbe solo file visibili e accessibili): l'imaging cattura tutto, incluso lo slack space, l'unallocated space, i file nascosti.
Il risultato in entrambi i casi è una immagine forense (o immagine fisica). L'integrità si verifica con funzioni hash prima, durante e dopo l'acquisizione.
Algoritmi di Hash
Una funzione hash produce un digital fingerprint univoco di un dato. Se anche un solo bit cambia, l'hash cambia completamente. Questo garantisce l'integrità della prova.