Cos'è l'Anti-Forensics
L'Anti-Forensics (AF) è una collezione di strumenti e tecniche con l'obiettivo di ostacolare gli investigatori forensi. Ha quattro scopi principali:
- Evitare che vengano individuate tracce di eventi accaduti
- Innescare dubbi sul report di un'indagine
- Interrompere la raccolta di informazioni
- Aumentare il tempo necessario per svolgere l'indagine
Categoria 1 — Eliminare le evidenze
Nel mondo fisico si elimina un'arma o si pulisce una superficie con impronte. Nel digitale si sovrascrivono dati e metadati.
I tool di wiping operano in tre modalità:
- Sovrascrittura dell'intero dispositivo: ogni settore viene sovrascritto con zeri o dati random (equivalente alla pulizia forense vista nel cap. 2 con DC3DD)
- Sovrascrittura di singoli file: elimina file specifici in modo sicuro
- Sovrascrittura dell'unallocated space: elimina i file cancellati ancora presenti sul disco ma non più visibili al SO
Alterazione dei timestamp
Tool appositi permettono di modificare i timestamp nei metadati del file system, rendendo la timeline errata:
- Attribute Changer: si integra nell'interfaccia Windows, permette di modificare visivamente i metadati di un file
- Timestomp (Metasploit): modifica il campo Standard Information della MFT in NTFS
Categoria 2 — Nascondere le evidenze
Crittografia