GLI SPECIALISTI ASSOLUTI IN

INDAGINI INFORMATICHE

L'analisi dei contenuti digitali consiste nell'acquisizione, analisi e riordino di informazioni originariamente contenuti in supporti elettronici. L'analisi dei contenuti coinvolge molto di più che la mera acquisizione o ripristino di dati informatici. In particolare essa è subordinata alla conoscenza di tutti gli aspetti correlati al flusso che questi dati compiono durante l'utilizzo da parte degli utenti e serve dunque una competenza specifica per acquisire lo stato di fatto ad un certo e determinato momento, estrarne e preservarne il contenuto informativo. Questo aspetto richiede inoltre la conoscenza del caso e deve quindi essere effettuata un'analisi di carattere non tecnico.

Quando la quantità di dati da analizzare è molto ampia (si pensi per esempio all'intero archivio files di un'azienda medio-grande) è necessario predisporre un filtraggio preliminare per individuare i dati ricercati. Solo tramite apposite tecniche di correlazione è possibile individuare piccole cose in un grande archivio. La competenza dei nostri tecnici consente di individuare e pianificare tutti i filtri di ricerca necessari a individuare informazioni contestuali ai casi studiati. In particolare modo è possibile riorganizzare i contenuti in maniera ordinata partendo dalla tipologia del file fino a individuare i singoli contenuti o ricorrenze degli stessi. Il data  shifting può essere fatto puntualmente e una tantum su un archivio oppure in tempo reale (vedere anche Analisi Proattiva).

Anche nella migliore delle ipotesi la quantità di dati presenti su un elaboratore elettronico è tale da richiedere che le informazioni probatorie, una volta acquisite, siano in qualche modo rese direttamente fruibili. Per questi motivi la nostra squadra di tecnici può rielaborare i contenuti e preparare dossier digitali relativi alle analisi compiute, i riferimenti alle posizioni originali dei dati e alle copie non distruttive acquisite che costituiscono prove legali.

Si tratta dell'elemento base di ogni procedimento o perizia legale. Le unità di memoria di massa così sequestrate dalle forze dell'ordine vengono clonate con procedimenti non distruttivi (che non alterano l'originale). In questo modo, salvo guasto fisico dei dispositivi, è possibile condurre tutte le analisi necessarie e replicarle in ogni momento riproducendo l'intero iter tecnico. Fuori dall'ambito giudiziale, tramite l'acquisizione non distruttiva, è inoltre possibile effettuare analisi discrete sugli eventuali abusi compiuti tramite gli strumenti informatici e consentire ai legittimi proprietari di tutelare i propri interessi contro illeciti commessi da terzi senza che questi vengano insospettiti. Tale manovra è infatti del tutto trasparente all'utente il quale non ha modo di percepire che è stata compiuta. Tale procedimento può essere effettuato su tutte le tipologie di memorie di massa, dalle piccole schedine a stato solido che si trovano dentro cellulari e fotocamere ai più capienti hard disk dei moderni calcolatori.

Il ripristino di dati cancellati è uno dei procedimenti base dell'informatica forense. In sede di giudizio ha lo scopo di individuare ulteriori elementi probatori, ma può essere un validissimo strumento per coadiuvare il disaster recovery laddove le misure di sicurezza preventive abbiano fallito e prodotto perdite di dati molto preziosi. Sono di particolare rilievo le possibilità di recuperare e-mail cancellate, files cancellati o danneggiati, registri di navigazione internet e altri elementi che possano collegare il momento, il luogo e il contenuto delle azioni compiute dall'utente.

Per analisi dei dati si intendono tutti i procedimenti preliminari volti a individuare se, all'interno di una struttura informatica complessa, sono presenti flussi significativi ai fini delle indagini in corso. Questo tipo di attività è preliminare a molte delle attività già descritte e serve per consentire ai tecnici di pianificare come agire e cosa acquisire. In particolare l'analisi dei dati comprende l'acquisizione del traffico di rete (sniffing), la determinazione delle informazioni tecniche relative ai dispositivi sui quali praticare acquisizioni non distruttive, l'eventuale possibilità di effettuare il data shifting e/o il recupero di informazioni perse o nascoste.

L'analisi proattiva è necessaria quando le attività di indagine producono o possono accidentalmente produrre un'escalation del fenomeno indagato stesso. Se per esempio le attività di indagine sono particolarmente visibili sussiste la possibilità che gli individui coinvolti cerchino di eliminare le prove. Tramite appositi meccanismi di correlazione in tempo reale è possibile ottenere messaggi di allarme e compilare registri e interpolazioni che conducano a individuare specifiche attività e i relativi autori.