Articolo Pubblicazioni

Network forensics: tracciare le operazioni in rete con log, flussi e pacchetti

di · Pubblicato il 4 giugno 2011 - Aggiornato il 14 novembre 2026 · Tratto da «Tracciabilità delle Operazioni in Rete e Network Forensics»

Abstract

L’articolo riprende il seminario «Tracciabilità delle Operazioni in Rete e Network Forensics» del 4 giugno 2011. Distingue le tracce che provano una connessione da quelle che ne rappresentano il contenuto, nei modelli client-server e peer-to-peer, definisce la network forensics e la separa dalla sicurezza di rete. Descrive l’analisi dal vivo, con i passi di un’intercettazione telematica, e l’analisi a posteriori sui log degli apparati, e chiude con i limiti che rendono spesso questi dati più indizi che prove.

Vincenzo Calabrò | Network forensics: tracciare le operazioni in rete con log, flussi e pacchetti
 

Le tracce lasciate in rete

Ogni attività in rete lascia tracce di due tipi. Il primo prova che una connessione è avvenuta:
  • i log degli apparati di comunicazione, come switch, router, firewall e sistemi di rilevamento delle intrusioni;
  • i tabulati del traffico telefonico e dati, conservati dagli operatori e dai fornitori di accesso a Internet.
Il secondo rappresenta in tutto o in parte il contenuto della comunicazione:
  • i log di sistema dei terminali, sia client sia server;
  • le memorie di massa e le cache dei client, dei proxy e dei server.
Dove cercarle dipende dal modello di comunicazione. Nel modello client-server rientrano web, servizi web, posta, newsgroup, FTP, video on demand, VoIP, social network e cloud computing. Nel modello peer-to-peer rientrano chat, messaggistica istantanea, VoIP come Skype, condivisione di file, streaming, motori di ricerca distribuiti e grid computing.

Che cos’è la network forensics

La network forensics è l’analisi dei sistemi di rete, compresa Internet, per ricavare elementi di prova su un caso. Usa gli stessi strumenti della sicurezza di rete, ma lavora in ambito legale e si occupa di violazioni di legge. Marcus Ranum, nel 1997, la descriveva come il prelievo, la memorizzazione e l’analisi degli eventi di rete per identificare la sorgente degli attacchi o l’origine di altri problemi. Il campo d’azione può essere locale, una LAN, oppure geografico, una WAN o Internet.

L’analisi dal vivo

Nelle intercettazioni telematiche bisogna conoscere molti componenti di rete, come hub, switch, router, firewall, sonde e bilanciatori. L’approccio indicato nel seminario aveva sei passi:
  1. individuare l’obiettivo da intercettare;
  2. studiare i software e i protocolli da analizzare;
  3. scegliere il punto di ascolto;
  4. inserire l’apparato di intercettazione adatto;
  5. registrare il flusso catturato su un supporto sicuro;
  6. analizzare il traffico acquisito.
I problemi principali sono la quantità di dati, la ricostruzione dei contenuti e la ricostruzione delle sessioni. Strumenti come Wireshark, che cattura il traffico su molti tipi di rete e decodifica centinaia di protocolli, e Xplico, che ricostruisce i contenuti a partire da una cattura, aiutano a interpretare i dati.

L’analisi a posteriori

Spesso servono altri pezzi del puzzle per sostenere una tesi. Le tracce lasciate sugli apparati di rete permettono di ricostruire sessioni web, FTP, telnet o di messaggistica, trovare file scaricati o consultati sulle unità di rete, trovare password e identificare le macchine remote. Anche qui il seminario proponeva una sequenza:
  1. individuare sorgente e destinazione della sessione;
  2. verificare quali sistemi e supporti sono stati coinvolti, come switch, router e fornitori di accesso;
  3. cercare gli elementi che documentano l’attività, come log, report dei sistemi di rilevamento e journal;
  4. normalizzare i tracciati per ricostruire la comunicazione;
  5. individuare le macchine o i supporti da sottoporre ad analisi forense.
Gli esempi del seminario comprendevano i log di un server web, la geolocalizzazione di un indirizzo, la lettura dell’intestazione di un’email e l’analisi di campagne di phishing, compresi gli attacchi omografi che usano caratteri simili per imitare un dominio. Le difficoltà sono i sistemi distribuiti, le pagine dinamiche, le macchine che non si possono spegnere, la quantità di dati, la certificazione della copia e la presentazione dei risultati in dibattimento.

Un esempio

Si consideri un’email minatoria ricevuta da un dirigente. Il primo passo è acquisire il messaggio completo, con le intestazioni, dalla casella del destinatario, calcolandone l’impronta hash. Le intestazioni Received si leggono dal basso verso l’alto e descrivono il percorso del messaggio da un server all’altro. In molti casi permettono di risalire all’indirizzo IP da cui il mittente si è collegato al proprio server di posta o al servizio di webmail, insieme alla data e all’ora.
L’indirizzo IP, con l’orario e il fuso orario esatti, consente all’autorità giudiziaria di chiedere al fornitore di accesso a Internet i dati dell’utenza a cui era assegnato in quel momento. La richiesta deve arrivare in tempo. In Italia l’articolo 132 del Codice in materia di protezione dei dati personali, come modificato dal decreto legislativo 109 del 2008, fissa in dodici mesi la conservazione dei dati di traffico telematico, contro i ventiquattro di quello telefonico.
Il risultato identifica un’utenza, che può non coincidere con una persona precisa. Una connessione domestica o aziendale può essere usata da più individui, e una rete Wi-Fi aperta da chiunque si trovi nelle vicinanze. Servono quindi riscontri ulteriori, come l’analisi dei dispositivi presenti in quella rete.

I limiti probatori

Nella computer forensics esistono prassi consolidate per garantire che il supporto analizzato non sia stato alterato. Nella network forensics le variabili sono molte di più. Bisogna certificare il procedimento di acquisizione insieme allo stato della rete in quel momento, e la copia a caldo di dati su un sistema in funzione è un’operazione irripetibile. Il grado di incertezza rende spesso questi dati indizi utili all’indagine, con un valore probatorio da costruire caso per caso.
C’è poi un problema di perimetro. Una rete usata per commettere un reato non è coinvolta per intero, e allargare l’analisi rischia di danneggiare utenti estranei. Il personale dei sistemi informativi può conservare informazioni decisive, raccolte però con metodi che non sempre rispettano i canoni forensi o le norme sulla privacy. Servono autorizzazioni specifiche, e le scorciatoie come lo sniffing o l’accesso abusivo producono risultati quasi mai utilizzabili in dibattimento.
Restano infine limiti strutturali come la sincronizzazione degli orologi, la quantità di dati, la dimensione internazionale delle reti, la crittografia, l’anonimato, il cloud computing e le botnet.
 
Vedi anche: l’articolo del 2010 Approccio all’Analisi Forense delle Celle Telefoniche. Bibliografia: T. V. Lillard, Digital Forensics for Network, Internet, and Cloud Computing, Syngress, 2010.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn