Articolo Pubblicazioni

Copia forense di dischi e memorie: bit a bit, hash e write blocker

di · Pubblicato il 7 maggio 2019 - Aggiornato il 14 novembre 2026 · Tratto da «Acquisizione forense di evidenze da memorie»

Abstract

L’articolo riprende la lezione «Acquisizione forense di evidenze da memorie» del corso di Digital Forensics del 2019. Segue il percorso delle evidenze dalla scena all’analisi, con l’identificazione dei supporti, la scelta fra sequestro e acquisizione, la preservazione e la catena di custodia. Spiega poi che cos’è una copia bit a bit, in quali modi la si esegue, come la si sigilla con l’hash e come si acquisisce la RAM, e chiude con le tecniche di analisi, dal recupero dei file cancellati alla ricostruzione della timeline.

Vincenzo Calabrò | Copia forense di dischi e memorie: bit a bit, hash e write blocker
 

Identificare i supporti

La prova informatica ha una forma fisica, il dispositivo, e una logica, la rappresentazione dei dati. Sulla scena il primo intervento, che la lezione chiamava con la sigla DEFR (digital evidence first responder), cerca tutti i dispositivi che possono contenere dati rilevanti, con priorità a quelli volatili e attenzione a quelli difficili da individuare per dimensione, come una microSD, o per collocazione, come uno spazio in cloud o una SAN. I supporti vanno dagli elaboratori con dischi, RAID e SSD alle memorie esterne, dai supporti ottici a quelli legacy come floppy e nastri, fino ai dispositivi con memoria integrata, come fotocamere, console, videosorveglianza, smartphone, smartwatch e smart TV, ai sistemi virtuali e alle risorse remote.
Per ogni supporto si documentano marca, tipo e numero di serie, con foto se è danneggiato. Lo stato di ogni computer, acceso o spento, va lasciato com’è. Se è acceso si fotografa e si verbalizza ciò che è sullo schermo, se è spento non si tocca. Si recuperano i caricabatterie, si usa un rilevatore di segnali wireless per scoprire dispositivi nascosti e si raccolgono anche le informazioni fornite dal personale, come lo scopo d’uso di un dispositivo o le password.

Sequestro o acquisizione

La scelta fra il sequestro dei dispositivi e l’acquisizione sul posto dipende dalla volatilità delle evidenze, dalla presenza di cifratura, che può rendere necessaria l’acquisizione della RAM, dalla criticità del sistema, dai requisiti legali e dalle risorse disponibili, come lo spazio di archiviazione o il personale. In entrambi i casi si valuta cosa è pertinente, si assegna a ogni reperto un identificativo con etichetta e scheda descrittiva e si stabilisce un piano di acquisizione.
Un sistema spento si scollega togliendo prima il cavo dal dispositivo e poi dalla presa, dopo aver verificato che non sia in standby. Si etichettano cavi e porte per ricostruire i collegamenti, si protegge il tasto di accensione e si sigillano gli alloggiamenti dei supporti rimovibili. Su un sistema acceso si acquisiscono prima i dati volatili, perché potrebbero contenere le chiavi di cifratura, e si decide se spegnerlo con la procedura regolare o togliendo l’alimentazione, oppure se trasportarlo acceso con le dovute cautele.

Preservazione e catena di custodia

L’evidenza va protetta nella riservatezza, nell’integrità e nella disponibilità durante il trasporto e lo stoccaggio, che può durare quanto il processo. Si etichetta tutto, si tengono cariche le batterie, si bloccano le parti mobili e si preservano anche le tracce non digitali, come quelle biologiche, usando guanti puliti. Ogni modifica accidentale va giustificata e verbalizzata. La catena di custodia documenta la storia del reperto dalla raccolta in poi, con il suo identificativo unico e, per ogni accesso, chi, quando, dove e perché, oltre alle alterazioni inevitabili con il nome del responsabile.

La copia bit a bit

La copia forense è un duplicato fedele della memoria originale in ogni sua parte. Quella ideale è la copia bit a bit, o bit stream image, che comprende tutti i file, anche quelli cancellati, lo slack space e lo spazio libero. Si distinguono tre situazioni.
  • Post mortem, a dispositivo spento, collegando il supporto a una postazione forense dotata di write blocker;
  • On the fly, sul sistema di origine, quando i supporti non si possono scollegare facilmente, come nei RAID o con le memorie saldate;
  • Tramite rete, trasferendo la copia attraverso la rete.
La copia può essere da dispositivo a dispositivo o, più spesso, da dispositivo a file. In questo caso si sceglie il formato, RAW (dd) oppure EWF o AFF, che ammettono compressione, metadati e cifratura, e si può dividere l’immagine in più file. L’ordine di volatilità guida la sequenza, partendo da registri e cache, poi la RAM, lo stato della rete, i processi attivi, i supporti di massa collegati, i log remoti, i supporti rimovibili e i backup. La copia non deve alterare l’originale, e quando non esiste un metodo che lo eviti, o quando serve una copia parziale, la scelta va motivata e documentata. Le procedure devono seguire metodi riconosciuti, verificabili dalle altre parti.

Hash e write blocker

Alla fine dell’acquisizione i dati si sigillano con un’impronta hash, eventualmente accompagnata da una firma digitale che associa l’operazione a chi l’ha eseguita. La funzione di hash trasforma una sequenza di bit di qualunque lunghezza in un digest di lunghezza fissa, non è invertibile e identifica in pratica il contenuto, anche se in teoria ogni digest corrisponde a infiniti input, le collisioni. Il DPCM 8 febbraio 1999 definiva già l’impronta come la sequenza di lunghezza predefinita ottenuta applicando una funzione di hash. La lezione citava MD5 e SHA-1, e per MD5 e SHA-1 sono note collisioni costruite di proposito, per cui è prudente calcolare anche un hash della famiglia SHA-2. Ricalcolando l’hash sull’immagine e confrontandolo con quello annotato si verifica in ogni momento che la copia sia integra.
Per garantire che il supporto originale non venga modificato si usano i write blocker, dispositivi che bloccano le scritture verso il supporto, e conviene preferire strumenti che registrano automaticamente le operazioni eseguite.

Acquisizione live, logica e della RAM

Quando un sistema è acceso o non può essere spento, come un server critico, un sistema medico o di videosorveglianza, si ricorre all’acquisizione live, completa di RAM e memorie di massa, oppure a quella parziale delle sole porzioni di interesse. Le distribuzioni live avviate da DVD o pendrive permettono di lavorare senza toccare i dischi, anche per un’attività di preview o triage che stabilisca se un dispositivo è pertinente, da documentare comunque nel verbale di ispezione o di perquisizione. La copia logica, parziale, si usa per dispositivi cifrati, server, dispositivi mobili o condivisi, dove serve il sistema operativo acceso o dove le informazioni di interesse sono circoscritte a certi file.
La RAM perde il contenuto allo spegnimento e si acquisisce a sistema acceso, quando servono password e chiavi presenti in memoria, i processi attivi, le tracce dei programmi che non scrivono su disco o l’analisi di malware e rootkit. Lo strumento si avvia da un supporto esterno e salva l’immagine su un supporto esterno, mentre per una macchina virtuale basta uno snapshot. Fra gli strumenti citati c’erano FTK Imager e Magnet RAM Capture per l’acquisizione e Volatility per l’analisi.

L’analisi

L’analisi si esegue sempre sulla copia e deve essere riproducibile, nel senso che ogni operazione deve restituire gli stessi dati. Ricostruisce gli eventi rispondendo alle domande chi, che cosa, quando, dove e perché, con ricerche per autore, intervallo di date, tipo di file, parola chiave, hash o conversazione. Un file cancellato di solito non viene azzerato, viene solo dereferenziato nel file system. Lo si recupera analizzando i metadati del file system, come la MFT di NTFS, che restituiscono anche nome, date e proprietario e gestiscono i file frammentati, oppure con il file carving, che cerca nello spazio non allocato le intestazioni e le chiusure tipiche di ogni formato e funziona bene solo con file contigui.
I metadati di file system, documenti, immagini EXIF, audio, video ed email dicono chi ha creato un file e quando, e possono rivelare ciò che si è tentato di nascondere. La timeline mette in ordine i timestamp di file system, file prefetch, registro di Windows, log e cronologia di navigazione, e la supertimeline vi aggiunge i dati esterni, come quelli dell’operatore telefonico, dei dispositivi di rete, delle email e dei servizi cloud. Quando serve osservare un programma in funzione o interrogare un database, la copia bit a bit si avvia come macchina virtuale con le schede di rete disabilitate, e le operazioni restano ripetibili. La valutazione finale stabilisce se il reperto è integro, autentico e attendibile, se è stato alterato o contraffatto e se l’acquisizione è stata legittima.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn