WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright - 2009 - Waylog Srl -...

WAYlog Intelligence

Corso Analisi Forense e Tecniche Investigative

- Copyright - 2009 - Waylog Srl - Via Italia Libera 13 - 22100 Como - Tel. 031 242370 - Web: http://www.waylog.it -

http://www.waylog.it/

Lezione 1 - Docente Marco Bodecchi

Aspetti Generali

Utilizzo di Encase in ambito giuridico

Utilizzo di Cellebrite Ufed in ambito giuridico

L’intercettazione Telematica Internet

Utilizzo di Apparati GPS



Aspetti Generali

I fatti di cronaca hanno portato alla ribalta l’utilizzo di materiali informatici nel ruolo probatorio, esempi sono- il caso Kercher di Perugia- il caso Poggi di Garlasco

Le ultime analisi rivelano come i reati di tipo informatico o commessi tramite strumenti informatici siano in aumento



Si sta assistendo ad un utilizzo della prova informatica anche in sede dibattimentale:- Omicidio di Erba- Omicidio di Lecco

L’impiego delle prove inoltre non sono limitate alla sola sfera giuridica

Spesso le prove documentali che diventano elementi essenziali nei processi sono elementi digitali che devono essere estratti in modo opportuno dai computer ove sono memorizzate



Tra l’altro ricordiamo:- Messaggi Email- Storico Chat Internet- Documenti Crittati- Navigazione Internet

Dalle analisi dei reperti possiamo trovarci di fronte a diverse domande ad esempio:- Il Personal Computer è stato utilizzato per accedere ad una rete o a documenti potenzialmente riservati in modo abusivo, i documenti sono stati successivamente reinviati ad altri?- Il reperto è stato oggetto di scambio di materiale di natura pedo pornografica?- E’ possibile risalire all’identità dell’utilizzatore del Personal Computer?- Possiamo affermare che il telefono cellulare sia implicato nelle indagini?



Tutte queste domande hanno come risposta una scienza chiamata “Informatica Forense” o “Computer Forensics.

Oggi ci occupiamo dell’approfondimento di questi argomenti.



La Traccia DigitaleQuando utilizziamo un apparato elettronico, lo stesso ha come “elemento negativo” di lasciare delle tracce del nostro passaggio

Per traccia informatica o digitale intendiamo:- File generati dal Personal Computer- File di log- Modifiche ai documenti quali data ed ora- Trasmissione dati tra personal computer (sniffer internet)



Immaterialità degli elementi

Purtroppo per tutti questi corpi di reato dobbiamo per forza di cose parlare di immaterialità in quanto consistono in sequenze di bit che vengono inserite nei dispositivi di archiviazione dati.

Per vedere questa traccia digitale, si deve accedere al dispositivo su cui essa è stata memorizzata.



Possiamo quindi distinguere in:

- Dispositivi di Memorizzazione NON volatili quali hard disk, penne usb, cd/dvd, che non necessitano di alimentazione per trattenere le informazioni

- Dispositivi di Memorizzazione volatili quali memorie RAM, che per forza di cose devono essere alimentate per trattenere le informazioni



E’ essenziale nel trattamento delle tracce digitali che il materiale sia:

- Autentico: deve essere certa la provenienza

- Integro: non presentare alterazioni

- Veritiero: ottenuto dall’interpretazione dei dati

- Completo: raccolto con i dati relativi

- Legale: rispettando le leggi vigenti- Copyright - 2009 - Waylog Srl - Via Italia Libera 13 - 22100 Como - Tel. 031 242370 - Web: http://www.waylog.it -


Autentica

Dobbiamo capire come la prova che ci viene sottoposta sia finita nel reperto che andiamo ad analizzare. (Ricordiamo l’azione di virus, malware oppure intenzionalmente)



IntegraLa prova denominata “digitale” presenta un alto fattore di “fragilità” ovvero puo’ essere modificata e manomessa se non maneggiata in maniera opportuna.Su tutto ricordiamo:- Avvio dei personal computer senza dispositivi fast block- Spegnimento “brutale” dei supporti di memorizzazione.

Dobbiamo quindi attuare tutta una serie di accortezze tali per cui la prova sia dimostrabilmente non modificata.



VeraLa traccia digitale non è nient’altro che una serie di 0 ed 1 sparsi in una superficie atta al loro deposito.

Quello che noi definiamo “Informazione” la somma di 2 elementi: il dato fisico e la nostra interpretazione

Si deve essere altamente specializzati e conoscere in maniera certa il sistema operativo che stiamo analizzando ed il tipo di prova che ci viene presentata



CompletaL’analisi non puo’ essere fine a sé stessa col ritrovamento dell’elemento fisico, dobbiamo per forza di cose accertare anche con che fine il nostro utente abbia detenuto questo materiale:- Detenzione e/o divulgazione- Navigazione accidentale (pop up o spyware)- FileSharing

La completezza puo’ essere data solo ed unicamente se abbiamo una ferrata e profonda conoscenza del sistema operativo.



Legale

Abbiamo affrontato un salto generazionale:--> Metodiche tradizionali : NO TECNOLOGIA--> Metodiche moderne: SI’ TECNOLOGIA

Necessità quindi di adozione di specifiche cautele nel trattamento della prova digitale

La P.G. operante in coadiuvazione con gli Ausiliari di P.G. devono per forza di cose:- adottare misure dirette ad assicurare la conservazione dei dati originali ed impedirne l’alterazione- acquisire i dati mediante copia su adeguato supporto che ne permetta l’analisi e certifichi l’immodificabilità



La Metodologia di Indagine

Possiamo identificare 4 passaggi essenziali nell’analisi forense:

1) CONGELAMENTO della prova

2) ACQUISIZIONE della prova

3) ANALISI della prova

4) RELAZIONE



Il CongelamentoNel corso delle operazioni di P.G. dobbiamo congelare i supporti, ovvero impedire che gli stessi possano essere alterati da scritture o cancellazioni.

Per fare questo:- spegnere il Personal Computer- estrarre il disco fisso o supporto di memorizzazione- sigillare il supporto ed annotare i numeri di serie se presenti- verificare data ed ora sia del personal computer che quella effettiva del congelamento



L’AcquisizioneLa prova deve essere acquisita per preservarne l’integrità e per effettuare l’analisi.

Questa copia deve essere “fisica” ovvero tutta la superficie del dispositivo deve essere clonata.

Si deve calcolare un codice Hash per verificare l’integrità del dispositivo stesso

Il file così prodotto viene successivamente analizzato



L’AnalisiScopo dell’analisi è la ricerca degli elementi di prova che permettono di ricostruire cosa è stato fatto sul dispositivo e di evincere prove a favore o sfavore dell’accusa e difesa.

Utilizziamo appositi software di analisi forense (Encase)

Questa analisi a livello di singolo cluster ricerca anche elementi che siano in parte o totalmente cancellati.



La RelazioneAl termine della fase di analisi della prova abbiamo la stesura di una relazione che permetta di riscontrare in modo univoco e certo quanto rilevato, rispondendo in parte o in toto a quelli che possono essere i quesiti posti dal P.M.

E’ essenziale la chiarezza e la puntualità con cui vengono analizzate le prove e stesa la relazione, il grado di conoscenza delle apparecchiature deve essere molto elevato.



Encase in Ambito Giuridico

Encase è un software di analisi forense

Permette di gestire i supporti in modalità “read only” senza alterare la prova e consentendo la riproducibilità della stessa

Gestisce acquisizione di supporti sia fisici che rimovibili



Gestione della Prova

E’ necessario che vengano annotate:

- Hash File dei supporti acquisiti

- Hash File degli elementi estrapolati

- Seriale dei supporti acquisiti

- Apparecchiature Fast Block utilizzate



Obblighi della P.G.La P.G. operante deve richiedere l’affiancamento di ausiliari di P.G. preparati per le attività di estrapolazione dati e salvataggio degli elementi

Attenersi alle regole di “congelamento” ed “acquisizione” della prova precedentemente illustrata

Fornire indicazioni al consulente circa gli elementi da estrapolare



Affiancamento AusiliariGli ausiliari di P.G. possono quindi essere

interpellati per le analisi dei reperti, è necessario coordinarsi con la P.G. operante per fornire gli elementi utili alla ricerca quali parole chiave, email, documenti di varia natura, chat.

Solo una pianificazione precisa e puntuale di questi elementi permette di gestire in tempi brevi e con risultati profiqui tutta la procedura di analisi forense



I RapportiEncase genera dei rapporti poco intelleggibili alle persone al di fuori dei lavori, quindi è essenziale un’analisi e una ristesura di quelli che possiamo considerare delle “bozze” di rapporto.

Da considerare anche il fatto che i report di encase derivano da analisi richieste dall’operatore, lo stesso deve quindi “trasportare” il risultato nel rapporto definitivo.



Encase On The Road

Relatore Marco Veronelli



EncaseSistema di analisi forense nato nel 1997 dalla Guidance Software di Pasadena USA

Metodologia alternativa all’analisi, spostamento del controllo dal supporto reale all’immagine inalterabile dello stesso mediante acquisizione.

Prodotto “vivo” che si modifica nel corso del tempo.



EncaseDalla versione 3, abbandona in parte l’interfaccia DOS, diventando “Windows Like”,

Oggi siamo alla versione 6, diverse feature inserite nel sistema dall’analisi delle caselle email ricostruite nel loro insieme all’analisi dei logifile dei server, alla ricostruzione dei volumi Raid.

Ampia possibilità di gestione tramite scripting e programmazione



EncaseObiettivi:- Analisi della prova

- Preservazione della catena di salvaguardia della prova

- NON invadenza

- Ripetibilità

- Potenti script

- Possibilità di lavoro in “Teamwork”- Copyright - 2009 - Waylog Srl - Via Italia Libera 13 - 22100 Como - Tel. 031 242370 - Web: http://www.waylog.it -


EncaseAttualmente è l’unico sistema certificato riconosciuto dalla legge italiana per l’analisi della prova informatica.Vi sono altri sistemi di acquisizione ed analisi quali i vari “Live Cd” basati su linux, ma non sono certificati.

Genera un Hash MD5 su tutti gli elementi analizzati, dai supporti ai singoli files.



EncaseCOME FUNZIONA:

--> Acquisizione del supporto tramite dispositivo “Fast Block” che impedisce la scrittura, generazione Hash acquisizione

--> Analisi dei supporti tramite interfaccia e utilizzo di metodi quali “keywords” o per elementi.

--> Reportistica, utilizzo del sistema di bookmarks e report



Encase

Sessione “Hands On”



Cellebrite Ufed

Ufed è un sistema portatile, automatizzato per l’estrapolazione dei contenuti dei telefoni cellulari.

Lo strumento può essere utilizzato sia in ambito di analisi sul campo sia in analisi successiva in laboratorio



Ufed è:- NON Invadente- RIPETIBILE- CERTIFICATO- Genera Signature MD5- Supporta oltre 1.500 modelli- Possibilità di Analisi “Dump”- Reportistica “Html Based”

Cellebrite Ufed



Tramite l’analisi con Ufed è possibile gestire oltre 1.500 telefoni cellulari di tutte le marche e modelli, sia europei che extra-europei.

Vi è la possibilità di analizzare anche i “Dump” fisici della memoria del cellulare con programmi quali Encase.

Dalla SIM (se sbloccata) è possibile estrapolare tutti gli elementi compresi quelli cancellati.

Cellebrite Ufed



E’ possibile creare un “Clone” della Sim Card per evitare il blocco del telefono.

Ricca dotazione di cavi per il collegamento

L’analisi ed il report sono ripetibili

Cellebrite Ufed



Ufed in ambito giuridico

E’ un sistema certificato

Genera report con signature MD5

E’ ripetibile

Non altera la prova

Permette l’analisi “sul campo”



Ufed in ambito giuridico

In ambito giuridico è necessario porre attenzione sugli elementi essenziali da riportare sui verbali e sulle perizie quali:- Codice IMEI del Telefono Cellulare- Codice IMSI della Sim Card- Marca e Modello del Telefono Cellulare- Eventuali Memory Card presenti

Tutti questi elementi devono essere riportati in ogni comunicazione oltre che sulla perizia.



Ufed On The Road

Relatore Marco Veronelli



Cellebrite Ufed

Sessione “Hands On”



Intercettazione Internet

La realtà attuale porta alla ribalta l’intercettazione di Internet nella sua globalità (web, mail, telefonia, chat)

Necessità di formare e crescere del personale molto istruito e capace di interpretare i risultati estrapolati dalla moltitudine di dati presenti nelle analisi internet.



Possibilità di estrapolare informazioni su materiali molto differenti:- Web- Mail- News- Chat- Telefonia Voip- Streaming




Cosa è necessario:- Sonda presso il gestore che “catturi” i dati provenienti dalla linea sotto controllo- A seconda del tipo di intercettazione (Tipo 1 o Tipo 2) obbligo (nel Tipo 1) oppure no di un secondo server presso la Procura di competenza- Client presso gli operativi che dovranno visionare il materiale- Connettività dedicata ottimizzata da installare presso la sonda e presso i client.




FirePacket



Il GPS

G.p.s. = Global Positioning System- flotta di satelliti che permettono il geo posizionamento su una mappa degli apparati predisposti alla loro lettura- il gps è un apparato che puo’ essere occultato di ridotte dimensioni a lunga durata.



Permette di rilevare in diretta la posizione dell’indagato, puo’ fornire anche diversi allarmi quali:- movimento- stato della periferica (ok / ko)

Puo’ essere installato esternamente (a batteria, occultato nella autovettura fornisce il posizionamento)

Puo’ essere installato internamente alla autovettura, di solito in accoppiamento con un ambientale veicolare.

Il GPS



La durata minima del servizio è di 15 giorni, salvo diverse indicazioni.

E’ rinnovabile di norma di 15 giorni in 15 giorni.

Mediamente una batteria per il gps esterno puo’ durare dai 35 ai 55 giorni a seconda dell’utilizzo che viene effettuato.

Il GPS



I metodi di funzionamento sono vari:- Sola Diretta (ricevere in continuazione i punti dalla periferica)- SMS Movimento (la periferica invia sms ogni n. secondi mostrando la posizione)- A Richiesta: l’operativo decide come e quando contattare la periferica.

Il GPS



Pericoli derivanti dall’attività:- mancata installazione dell’apparato- perdita dell’apparato esterno per sganciamento- scoperta dell’apparato da parte dell’indagato- rottura dell’apparato per agente atmosferico- scaricamento del pacco batterie

Il GPS



Come si svolge l’attività:

1) Analisi dell’autovettura e scelta del tipo di apparato (Interno od Esterno)

2) Richiesta all’A.G. dell’autorizzazione a montare l’apparato

3) Installazione dell’apparato da parte della P.G. o dell’Ausiliario in coadiuvazione

4) Analisi degli eventi tramite il terminale in dotazione

Il GPS



Il GPS5) Fermo del veicolo per realizzazione attività

6) Salvataggio dei dati dal terminale e generazione di un report cartografico (Salvataggio “Storico”)

7) Disinstallazione apparati dall’autovettura

8) Deposito del supporto all’A.G. e verbale di fine attività.



Il GPSAd oggi esistono svariate case produttrici e moltissimi prodotti atti alle operazioni di geo posizionamento

Tra le altre ricordiamo queste tipologie di GPS:

- GSM Dati: utilizza o gli sms o il canale “dati” delle sim M2M per la trasmissione a 9600 Baud--> Pro: Semplicità del dispositivo, tipo di canale dati “sicuro” anche in scarso campo.--> Contro: Tecnologia “vecchia”, lentezza.- Copyright - 2009 - Waylog Srl - Via Italia Libera 13 - 22100 Como - Tel. 031 242370 - Web: http://www.waylog.it -


Il GPS- GSM GPRS: utilizza il canale dati dell’APN del gestore per inviare le informazioni ad un server centrale:--> Pro: Nuova tecnologia, fruibilità.--> Contro: Copertura scarsa, rischio di perdita dei dati.

- GSM DUAL SIM: utilizza 2 sim di 2 gestori per inviare le informazioni:--> Pro: Tecnologia all’avanguardia, copertura--> Contro: Consumo della batteria, problemi in fase di ponte “ibrido”



Sessione Hands-On

Il GPS



WAYTrack



Telecamere Occultate



Sessione Domande/Risposte


- Grazie per la partecipazione -


WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright - 2009 - Waylog Srl -...

Documents

Transcript of WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright - 2009 - Waylog Srl -...