La regola d'oro che vale sempre

Non modificare mai nulla sull'originale. Ogni azione lascia tracce — anche solo aprire una cartella aggiorna i timestamp. Tutto ciò che fai deve essere documentato, riproducibile e difendibile in tribunale.

Sequenza operativa generale

1. Arrivi sulla scena — prima di toccare qualsiasi cosa

• Fotografa e documenta tutto: dispositivi, cavi connessi, schermo, posizione nella stanza
• Identifica live system e dead system
• Metti in sicurezza la scena da accessi non autorizzati
• Inizia la Chain of Custody da subito — ogni prova deve avere una storia documentata da questo momento

2. Gestisci il dispositivo in base al suo stato

Se è acceso (live system):

• Non spegnerlo dal SO
• Muovi il mouse per verificare che non sia in standby
• Fotografa lo schermo
• Acquisisci subito il memory dump — è la cosa più volatile
• Poi stacca la spina (o rimuovi la batteria) — mai shutdown regolare

Se è spento (dead system):

• Non riaccenderlo mai
• Fotografa comunque schermo e porte
• Procedi direttamente all'acquisizione forense