Articolo Pubblicazioni

ISO/IEC 27037:2012: le linee guida internazionali per identificare, raccogliere e conservare la prova digitale

di · Pubblicato il 10 dicembre 2012

Abstract

Nel 2012 ISO e IEC hanno pubblicato la norma 27037, la prima linea guida internazionale sul trattamento iniziale delle prove digitali. L’articolo descrive i quattro processi che la norma distingue, cioè identificazione, raccolta, acquisizione e conservazione, i principi di verificabilità, ripetibilità, riproducibilità e giustificabilità, i ruoli di chi interviene sulla scena e le indicazioni pratiche per i dispositivi accesi e spenti, con un confronto con le regole introdotte in Italia dalla legge 48 del 2008.

Vincenzo Calabrò | ISO/IEC 27037:2012: le linee guida internazionali per identificare, raccogliere e conservare la prova digitale
 

Una norma per i primi passi

Fino a oggi chi interveniva su un computer per raccogliere prove poteva contare su guide nazionali, come quelle dell’ACPO britannica o del Dipartimento di giustizia statunitense, e su documenti tecnici come la RFC 3227. Mancava un riferimento internazionale riconosciuto. La ISO/IEC 27037, «Guidelines for identification, collection, acquisition and preservation of digital evidence», pubblicata quest’anno, colma questa lacuna per la fase più delicata, quella in cui le prove vengono individuate e messe in sicurezza.
La norma non tratta l’analisi, né la presentazione dei risultati in giudizio. Si ferma al momento in cui la prova digitale è stata acquisita e preservata. È una scelta voluta, perché gli errori commessi all’inizio sono quelli che più spesso compromettono l’intero lavoro e non possono essere corretti dopo.

I quattro processi

La 27037 distingue quattro processi, che nella pratica si susseguono ma richiedono decisioni diverse:
  1. identificazione, cioè la ricerca e il riconoscimento dei dispositivi e dei dati che possono contenere prove, compresi quelli meno evidenti come chiavette, schede di memoria e apparati di rete;
  2. raccolta, cioè la rimozione fisica dei dispositivi dal luogo in cui si trovano per portarli in un laboratorio;
  3. acquisizione, cioè la produzione di una copia dei dati quando il dispositivo non può o non deve essere rimosso, per esempio un server aziendale in produzione;
  4. conservazione, cioè la protezione dei dispositivi e delle copie da alterazioni, danni e accessi non autorizzati.
La distinzione fra raccolta e acquisizione è utile. Portare via un computer e copiarne il disco in laboratorio è diverso dal copiare dati da un sistema che deve restare dov’è, e ognuna delle due strade ha rischi e documentazione propri.

I principi

La norma chiede che il trattamento della prova digitale rispetti quattro requisiti:
  • verificabilità, perché un soggetto indipendente deve poter valutare le attività svolte attraverso la documentazione;
  • ripetibilità, cioè ottenere lo stesso risultato ripetendo la procedura con gli stessi strumenti e nelle stesse condizioni;
  • riproducibilità, cioè ottenere lo stesso risultato con strumenti diversi o in condizioni diverse;
  • giustificabilità, cioè poter motivare la scelta del metodo adottato rispetto alle alternative disponibili.
A questi si aggiungono le caratteristiche della prova raccolta, che deve essere pertinente, affidabile e sufficiente rispetto ai fatti da accertare.

Chi interviene

La norma introduce due figure. Il DEFR, Digital Evidence First Responder, è la persona autorizzata e formata a intervenire per prima sulla scena e a eseguire identificazione, raccolta e acquisizione. Il DES, Digital Evidence Specialist, ha competenze più ampie e interviene nei casi più complessi, per esempio sistemi cifrati, reti aziendali o dispositivi non comuni. Per entrambi la norma insiste su formazione, competenza dimostrabile e capacità di documentare il proprio lavoro.

Dispositivi accesi e spenti

Una parte consistente della 27037 offre indicazioni pratiche. Per un computer spento la regola è non accenderlo e procedere alla raccolta o alla copia del disco con strumenti che impediscano la scrittura. Per un computer acceso la decisione è più difficile, perché spegnerlo cancella i dati in memoria e può attivare la cifratura del disco. La norma suggerisce di valutare l’acquisizione dei dati volatili prima dello spegnimento, di documentare ciò che appare sullo schermo e di decidere il metodo di spegnimento in base al sistema. Per i telefoni raccomanda l’isolamento dalla rete per evitare modifiche da remoto.

Documentazione e catena di custodia

Ogni azione va registrata. La catena di custodia deve indicare l’identificativo univoco della prova, chi l’ha maneggiata e quando, dove è stata conservata e ogni trasferimento da una persona all’altra. Le copie vanno verificate con funzioni di hash, e la norma raccomanda di usare funzioni riconosciute e di registrare i valori ottenuti. È lo stesso approccio che in Italia la legge 48 del 2008 ha tradotto nell’obbligo di adottare misure tecniche per conservare i dati originali e impedirne l’alterazione.

Strumenti e verifiche

La norma chiede che gli strumenti usati per la copia siano validati prima dell’impiego e che il loro comportamento sia noto. Un write blocker hardware, un programma di acquisizione o un dispositivo per l’estrazione dei dati da un telefono devono essere provati su supporti di prova, con risultati documentati. Quando l’acquisizione avviene su un sistema acceso, chi opera deve sapere quali tracce lascia il proprio intervento, per esempio i programmi avviati in memoria o le voci aggiunte ai registri del sistema, e annotarle nel verbale. Un’alterazione minima, nota e documentata è accettabile. Un’alterazione ignorata mette in dubbio l’intera acquisizione.
Per i dati copiati la norma suggerisce di produrre almeno due copie, una di lavoro e una di riserva, e di calcolare l’hash sia dell’originale sia delle copie. Se il dispositivo originale resta nella disponibilità del proprietario, come accade per un server aziendale, il valore di hash registrato al momento dell’acquisizione diventa l’unico riferimento per dimostrare in seguito l’integrità della copia.

Il rapporto con la legge italiana

La 27037 è una norma tecnica volontaria. Offre tuttavia un parametro tecnico condiviso a livello internazionale per valutare se quelle misure siano state adottate. In un processo penale, un consulente che dimostra di aver seguito la norma ha un argomento solido contro le contestazioni sulla genuinità delle prove. Allo stesso modo, la difesa può usarla per mettere in luce le carenze di un’acquisizione eseguita senza metodo.

Le norme collegate

La 27037 è la prima di una piccola famiglia. Sono in preparazione la ISO/IEC 27041 sull’adeguatezza dei metodi di indagine, la 27042 sull’analisi e l’interpretazione delle prove digitali e la 27043 sui principi e i processi dell’investigazione sugli incidenti. Insieme coprono l’intero percorso, dalla scena alla relazione finale. Per chi lavora in questo campo conviene adottare fin d’ora la 27037 come riferimento per le procedure interne e per i verbali.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn