Acquisizione dei dati
Indice dei contenuti
Scena dell'incidente: Dati a rischio prima della raccolta
Quando si verifica un incidente, il primo istinto è spesso quello di “guardare intorno” al sistema in funzione.
Clic non pianificati, login di root o copie di file possono alterare timestamp, registri e spazio non allocato prima che qualcuno registri uno stato pulito.
L'acquisizione dei dati risolve questo problema.
Si concentra sulla raccolta dei dati in modo controllato, in modo da preservare l'integrità delle prove fin dalla prima azione.
Fondamenti dell'acquisizione forense
L'acquisizione dei dati in un contesto forense non significa solo copiare i file.
Definisce un processo documentato che raccoglie i dati, li protegge dalle modifiche e mostra al tribunale o alla revisione interna come avete gestito ogni fase.
Obiettivi principali:
Ridurre al minimo le modifiche sul dispositivo di origine
Acquisire il maggior numero di dati rilevanti possibile in base all'ambito di applicazione.
Dimostrare che i dati raccolti rimangono identici alla fonte
Fornire passaggi ripetibili che un altro esaminatore possa verificare
Ambito e livelli di acquisizione
Gli investigatori scelgono un livello di acquisizione in base al caso, al tempo e al rischio.
Livelli comuni:
Imaging fisico (a livello di bit): settore per settore copia di un intero disco o partizione
Acquisizione logicaCopia di file, cartelle e partizioni a livello di file system.
Raccolta miratacopia mirata di artefatti specifici, come registri, archivi di posta elettronica o dati del browser.
Si utilizza l'imaging fisico per la analisi e recupero.
Si scelgono metodi logici o mirati quando i vincoli di tempo o di accesso limitano l'imaging completo.
Hashes e convalida
Gli hash crittografici dimostrano che una copia corrisponde alla sua fonte.
Durante l'acquisizione, si calcolano hash come SHA-256 per:
Il dispositivo o l'immagine originale
L'immagine acquisita o i set di prove esportati
Quindi si confrontano i valori.
Quando corrispondono, è possibile dimostrare che i dati raccolti sono rimasti invariati dall'acquisizione fino all'analisi e al reporting.
Catena di custodia e documentazione
L'integrità tecnica da sola non basta.
È necessario documentare chi ha avuto accesso a un dispositivo, quando ha raccolto i dati, quali strumenti ha utilizzato e dove sono state trasportate le prove.
Un registro di base della catena di custodia comprende:
Identificatore del caso e descrizione del dispositivo
Date e orari di acquisizione e trasferimento
Nomi e firme dei gestori
Valori hash dei file di prova chiave
Conservate queste registrazioni insieme alle immagini e alle esportazioni per supportare una successiva revisione.
Tecniche di acquisizione su più dispositivi
Dispositivi diversi richiedono metodi di acquisizione diversi.
Laptop, server, servizi cloud e hardware mobile presentano tutti vincoli particolari.
Imaging di dischi e volumi
Per desktop e server, imaging del disco rimane un metodo primario.
Spesso:
Spegnere il sistema se la situazione lo consente.
Rimuovere l'unità e collegarla a una workstation forense.
Utilizzare un blocco di scrittura hardware per impedire qualsiasi scrittura sul disco sorgente.
Creare un'immagine a livello di bit e calcolare gli hash durante o dopo l'acquisizione.
L'analisi viene quindi eseguita sull'immagine, non sul disco originale.
Questo approccio protegge le prove anche se gli strumenti si bloccano o gli analisti commettono errori.
Acquisizione in tempo reale da sistemi in esecuzione
A volte non è possibile spegnere un sistema, ad esempio un server di produzione o un dispositivo che contiene prove volatili.
Si esegue quindi l'acquisizione dal vivo.
Le azioni tipiche includono:
Catturare RAM con uno strumento di acquisizione della memoria
Raccolta degli elenchi dei processi in esecuzione, delle connessioni attive e dei log volatili.
Imaging dei volumi logici mentre il sistema operativo è ancora in funzione, con il minimo disturbo possibile
L'acquisizione dal vivo modifica inevitabilmente il sistema in una certa misura.
Documentate questi cambiamenti e spiegate perché la raccolta dal vivo offriva il miglior equilibrio tra valore probatorio e rischio.
Collezioni di rete e cloud
Le moderne indagini vanno oltre i dischi locali.
I dati possono risiedere in archivi cloud, piattaforme SaaS o raccoglitori di log centrali.
In questi casi, l'utente:
Utilizzate le API della piattaforma per esportare i registri, il contenuto delle caselle di posta o la cronologia dei file.
Catturare il traffico di rete da rubinetti o porte span, se legalmente autorizzati.
Conservare i metadati del provider, come timestamp, identificatori di account e indirizzi IP.
Gli archivi esportati vengono trattati come oggetti di prova e sottoposti a hash come le immagini locali.
Flusso di lavoro software per un'acquisizione ripetibile
Le azioni manuali aumentano il rischio di errori.
Uno strumento di acquisizione ben progettato vi aiuta a seguire un processo coerente ogni volta.
Un tipico flusso di lavoro con uno strumento come Acquisizione dati EOS SECURE potrebbe assomigliare a questo:
Inizio Acquisizione dati EOS SECURE su una stazione di lavoro protetta.
Identificare i dischi, i volumi o le sorgenti remote collegate attraverso un elenco chiaro di dispositivi.
Selezionare il target e scegliere un tipo di acquisizione (immagine fisica, set logico o profilo mirato).
Configurare le opzioni di hashing e l'evidenza dei percorsi di destinazione.
Eseguire l'acquisizione mentre lo strumento registra log, hash e timestamp.
Lo strumento genera un rapporto che può essere allegato alla documentazione del caso.
Si evitano comandi ad hoc che diventano difficili da ripetere o da spiegare in seguito.
Procedura consigliata per l'acquisizione dei dischi di Windows
La seguente sequenza illustra una procedura pratica per l'acquisizione di un disco di Windows come prova.
Preparazione
Spegnere il sistema soggetto quando non si ha bisogno di dati in tempo reale.
Rimuovere con cura il disco ed etichettarlo con le informazioni sul caso.
Collegarlo alla workstation forense tramite un blocco di scrittura hardware.
Preparare un'unità di prova dedicata con spazio libero sufficiente per l'immagine.
Acquisizione e verifica
Lancio Acquisizione dati EOS SECURE dalla macchina di analisi.
Selezionare il disco sorgente dietro il blocco di scrittura.
Scegliere una modalità di immagine fisica e specificare l'unità di prova come destinazione.
Abilita l'hashing SHA-256 durante l'acquisizione.
Avviare il processo e monitorare gli errori di lettura o le anomalie.
Al termine, verificare che l'hash calcolato corrisponda a qualsiasi hash di origine registrato.
Sigillare ed etichettare il disco sorgente, quindi lavorare solo con l'immagine acquisita durante l'analisi.
Conclusione: Trasformare la raccolta in prove difendibili
L'acquisizione dei dati colma il divario tra “dati su un dispositivo” e “prove che un investigatore può difendere”.”
Processi solidi preservano l'integrità, mentre strumenti validi riducono il rischio e l'errore umano.
Selezionando un livello di acquisizione appropriato, utilizzando blocchi di scrittura e hash e documentando ogni fase, si creano collezioni che resistono a controlli tecnici e legali.
Soluzioni come Acquisizione dati EOS SECURE e vi aiuterà a ripetere il processo in molti casi con sicurezza.
Se avete bisogno di recuperare i dati persi, Magic Data Recovery pubblicato da Amagicsoft è un software professionale per il recupero dei dati. È altamente raccomandato.
Domande frequenti
Qual è il significato di acquisizione dei dati?
Qual è un esempio di acquisizione di dati?
Quali sono i 4 tipi di acquisizione dati?
Che cos'è un lavoro di acquisizione dati?
Quali sono le tre fasi dell'acquisizione dei dati?
Qual è un altro nome per l'acquisizione dei dati?
Come si esegue l'acquisizione dei dati?
L'acquisizione dei dati è un'abilità?
