L’analisi forense informatica è l’analisi dei dati e delle prove che vengono acquisiti da ogni supporto digitale.
Tutti i dati acquisiti devono essere analizzati in base ai processi identificati nell’analisi forense: vengono quindi duplicati tutti i dati digitali (questa operazione viene chiamata acquisizione forense) e si passa poi all’analisi di questi dati, in modo tale da verificare eventuali riscontri.
Come si effettua l’analisi forense
Esistono diverse tecniche per far emergere i dati dall’analisi forense:
- Analisi cross-drive;
- Analisi live;
- Recupero file eliminati;
- Analisi Stocastica;
- Metodi anti steganografia;
- Analisi base.
La prima analisi è molto interessante, in quanto va analizzare e correlare tra loro dati che emergono da due o più hard disk. In questo modo si capisce se ci sia un’eventuale correlazione tra membri di un clan.
La seconda analisi, fatta live, è molto interessante per reperire determinate informazioni: infatti si utilizzano dei programmi per raccogliere eventuali chiavi di cifratura utilizzate per bloccare il terminale.
Prima di spegnere il dispositivo le società di analisi forense informatica utilizzano software in grado di estrapolare qualsiasi informazione utile per rendere accessibile il dispositivo hardware in un secondo momento. Il recupero dei dati è un’altra pratica che viene messa in atto per cercare di recuperare materiale cancellato.
In questo modo, se sono stati cancellati diversi file importanti o che possono avere un valore dal punto di vista dell’analisi forense, si utilizzeranno determinati programmi per recuperare le informazioni.
Anche con eventuale cancellazione dal disco rigido, ci sono dei metodi e delle procedure che fanno in modo di poter recuperare ciò che è stato cancellato, in modo tale da riutilizzare le informazioni.
Altri metodi d’analisi dei dati
L’analisi stocastica è un altro modo per cercare di reperire informazioni durante l’analisi forense.
Questo processo è comunque complesso per via della su natura: infatti è un procedimento che prende in esame una grandezza che può variare in maniera casuale.
Questo percorso ipotetico, se applicato all’informatica e all’analisi dei dati può sicuramente dare un riscontro a quello che viene ricercato all’interno dei supporti.
Esistono anche i Metodi anti steganografia: infatti molto spesso i dati vengono occultati nelle immagini, modificandone i bit.
Questo processo sta prendendo sempre più piede e l’esperto cercherà di confrontare le immagini reali e di partenza a differenza di quelle presenti sul supporto fisico. In questo modo si riuscirà a capire se all’interno delle immagini modificate vi sono delle informazioni utili.
Ultima, ma non per ordine di importanza, l’analisi base: questo processo prevede un insieme di operazioni base che possono essere gestite in maniera semplice e veloce quando si inizia a praticare l’analisi forense. Questo tipo di analisi avviene consultando i registri di Windows, oppure ricerca di eventuali parole chiave all’interno del sistema. Un metodo per cercare di capire se tramite il dispositivo sono state effettuate operazioni illecite.
Le operazioni possibili e il caso in cui utilizzare l’analisi forense
Sono dunque tantissime le operazioni da poter effettuare grazie all’informatica forense. Su tutti abbiamo il recupero dei dati cancellati, che possono davvero dirci molto su eventuali crimini commessi.
Ma anche la ricerca delle parole chiavi, che ci fanno capire quali sono stati eventuali termini ricercati e se questo può essere d’aiuto alle ricerche dell’analisi forense informatica. Tramite queste analisi si possono anche individuare chiavi di cifratura e password, in modo tale da avere accesso a diversi archivi protetti e non accessibili.
Si possono anche individuare letture massive di dati: ad esempio in contesti aziendali, dove i dati informatici presenti sono moltissimi e possono comunque contenere informazioni preziose, eventuale lettura dei dati può essere significativa; l’analisi forense può anche individuare eventuali immagini o file video e migliorarli, in modo tale da avere un riscontro preciso: è il caso della lettura di una targa di un automobile, che può essere dunque rintracciata con il miglioramento dell’immagine.
Nel nostro paese i dati di un’analisi forense vengono determinati dalla legge n.48 del 18 marzo 2008: questo provvedimento determina come poter utilizzare ciò che si è reperito dall’analisi. Sono previste delle sanzioni più aspre per eventuali reati informatici, mentre sono state aumentate le pene per il contrasto alla pedopornografia.
Ci sono anche maggiori tutele per quanto riguarda i dati personali, mentre le forze dell’ordine possono richiedere un blocco dei dati per sei mesi circa.
