Corso Analisi Forense e Tecniche Investigative

Corso Analisi Forense e Tecniche Investigative
WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Lezione 1 - Docente Marco Bodecchi
Aspetti Generali Utilizzo di Encase in ambito giuridico Utilizzo di Cellebrite Ufed in ambito giuridico L’intercettazione Telematica Internet Utilizzo di Apparati GPS Aspetti Generali: ci occuperemo di evidenziare quali siano i comportamenti giusti e sbagliati di una analisi di P.G. nel suo complesso Encase: cos’è encase e come lo si deve usare giuridicamente Ufed: cos’è e come lo si usa Intercettazione internet: cos’è e cosa comporta Gps: perche’ usarli - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Aspetti Generali I fatti di cronaca hanno portato alla ribalta l’utilizzo di materiali informatici nel ruolo probatorio, esempi sono - il caso Kercher di Perugia - il caso Poggi di Garlasco Le ultime analisi rivelano come i reati di tipo informatico o commessi tramite strumenti informatici siano in aumento Perugia: ancora in alto mare e contestato il metodo operativo della Ps Garlasco: il giudice ha rinviato tutto richiedendo nuove analisi in quanto quelle prodotte non vanno bene. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Si sta assistendo ad un utilizzo della prova informatica anche in sede dibattimentale: - Omicidio di Erba - Omicidio di Lecco L’impiego delle prove inoltre non sono limitate alla sola sfera giuridica Spesso le prove documentali che diventano elementi essenziali nei processi sono elementi digitali che devono essere estratti in modo opportuno dai computer ove sono memorizzate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Tra l’altro ricordiamo: - Messaggi - Storico Chat Internet - Documenti Crittati - Navigazione Internet Dalle analisi dei reperti possiamo trovarci di fronte a diverse domande ad esempio: - Il Personal Computer è stato utilizzato per accedere ad una rete o a documenti potenzialmente riservati in modo abusivo, i documenti sono stati successivamente reinviati ad altri? - Il reperto è stato oggetto di scambio di materiale di natura pedo pornografica? - E’ possibile risalire all’identità dell’utilizzatore del Personal Computer? - Possiamo affermare che il telefono cellulare sia implicato nelle indagini? - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Tutte queste domande hanno come risposta una scienza chiamata “Informatica Forense” o “Computer Forensics. Oggi ci occupiamo dell’approfondimento di questi argomenti. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

La Traccia Digitale Quando utilizziamo un apparato elettronico, lo stesso ha come “elemento negativo” di lasciare delle tracce del nostro passaggio Per traccia informatica o digitale intendiamo: - File generati dal Personal Computer - File di log - Modifiche ai documenti quali data ed ora - Trasmissione dati tra personal computer (sniffer internet) - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Immaterialità degli elementi Purtroppo per tutti questi corpi di reato dobbiamo per forza di cose parlare di immaterialità in quanto consistono in sequenze di bit che vengono inserite nei dispositivi di archiviazione dati. Per vedere questa traccia digitale, si deve accedere al dispositivo su cui essa è stata memorizzata. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Possiamo quindi distinguere in: - Dispositivi di Memorizzazione NON volatili quali hard disk, penne usb, cd/dvd, che non necessitano di alimentazione per trattenere le informazioni - Dispositivi di Memorizzazione volatili quali memorie RAM, che per forza di cose devono essere alimentate per trattenere le informazioni - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

E’ essenziale nel trattamento delle tracce digitali che il materiale sia: - Autentico: deve essere certa la provenienza - Integro: non presentare alterazioni - Veritiero: ottenuto dall’interpretazione dei dati - Completo: raccolto con i dati relativi - Legale: rispettando le leggi vigenti - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Autentica Dobbiamo capire come la prova che ci viene sottoposta sia finita nel reperto che andiamo ad analizzare. (Ricordiamo l’azione di virus, malware oppure intenzionalmente) - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Integra La prova denominata “digitale” presenta un alto fattore di “fragilità” ovvero puo’ essere modificata e manomessa se non maneggiata in maniera opportuna. Su tutto ricordiamo: - Avvio dei personal computer senza dispositivi fast block - Spegnimento “brutale” dei supporti di memorizzazione. Dobbiamo quindi attuare tutta una serie di accortezze tali per cui la prova sia dimostrabilmente non modificata. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Vera La traccia digitale non è nient’altro che una serie di 0 ed 1 sparsi in una superficie atta al loro deposito. Quello che noi definiamo “Informazione” la somma di 2 elementi: il dato fisico e la nostra interpretazione Si deve essere altamente specializzati e conoscere in maniera certa il sistema operativo che stiamo analizzando ed il tipo di prova che ci viene presentata - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Completa L’analisi non puo’ essere fine a sé stessa col ritrovamento dell’elemento fisico, dobbiamo per forza di cose accertare anche con che fine il nostro utente abbia detenuto questo materiale: - Detenzione e/o divulgazione - Navigazione accidentale (pop up o spyware) - FileSharing La completezza puo’ essere data solo ed unicamente se abbiamo una ferrata e profonda conoscenza del sistema operativo. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Legale Abbiamo affrontato un salto generazionale: --> Metodiche tradizionali : NO TECNOLOGIA --> Metodiche moderne: SI’ TECNOLOGIA Necessità quindi di adozione di specifiche cautele nel trattamento della prova digitale La P.G. operante in coadiuvazione con gli Ausiliari di P.G. devono per forza di cose: - adottare misure dirette ad assicurare la conservazione dei dati originali ed impedirne l’alterazione - acquisire i dati mediante copia su adeguato supporto che ne permetta l’analisi e certifichi l’immodificabilità - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

La Metodologia di Indagine
Possiamo identificare 4 passaggi essenziali nell’analisi forense: 1) CONGELAMENTO della prova 2) ACQUISIZIONE della prova 3) ANALISI della prova 4) RELAZIONE - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il Congelamento Nel corso delle operazioni di P.G. dobbiamo congelare i supporti, ovvero impedire che gli stessi possano essere alterati da scritture o cancellazioni. Per fare questo: - spegnere il Personal Computer - estrarre il disco fisso o supporto di memorizzazione - sigillare il supporto ed annotare i numeri di serie se presenti - verificare data ed ora sia del personal computer che quella effettiva del congelamento - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

L’Acquisizione La prova deve essere acquisita per preservarne l’integrità e per effettuare l’analisi. Questa copia deve essere “fisica” ovvero tutta la superficie del dispositivo deve essere clonata. Si deve calcolare un codice Hash per verificare l’integrità del dispositivo stesso Il file così prodotto viene successivamente analizzato - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

L’Analisi Scopo dell’analisi è la ricerca degli elementi di prova che permettono di ricostruire cosa è stato fatto sul dispositivo e di evincere prove a favore o sfavore dell’accusa e difesa. Utilizziamo appositi software di analisi forense (Encase) Questa analisi a livello di singolo cluster ricerca anche elementi che siano in parte o totalmente cancellati. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

La Relazione Al termine della fase di analisi della prova abbiamo la stesura di una relazione che permetta di riscontrare in modo univoco e certo quanto rilevato, rispondendo in parte o in toto a quelli che possono essere i quesiti posti dal P.M. E’ essenziale la chiarezza e la puntualità con cui vengono analizzate le prove e stesa la relazione, il grado di conoscenza delle apparecchiature deve essere molto elevato. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase in Ambito Giuridico
Encase è un software di analisi forense Permette di gestire i supporti in modalità “read only” senza alterare la prova e consentendo la riproducibilità della stessa Gestisce acquisizione di supporti sia fisici che rimovibili - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Gestione della Prova E’ necessario che vengano annotate: - Hash File dei supporti acquisiti - Hash File degli elementi estrapolati - Seriale dei supporti acquisiti - Apparecchiature Fast Block utilizzate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Obblighi della P.G. La P.G. operante deve richiedere l’affiancamento di ausiliari di P.G. preparati per le attività di estrapolazione dati e salvataggio degli elementi Attenersi alle regole di “congelamento” ed “acquisizione” della prova precedentemente illustrata Fornire indicazioni al consulente circa gli elementi da estrapolare - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Affiancamento Ausiliari
Gli ausiliari di P.G. possono quindi essere interpellati per le analisi dei reperti, è necessario coordinarsi con la P.G. operante per fornire gli elementi utili alla ricerca quali parole chiave, , documenti di varia natura, chat. Solo una pianificazione precisa e puntuale di questi elementi permette di gestire in tempi brevi e con risultati profiqui tutta la procedura di analisi forense - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

I Rapporti Encase genera dei rapporti poco intelleggibili alle persone al di fuori dei lavori, quindi è essenziale un’analisi e una ristesura di quelli che possiamo considerare delle “bozze” di rapporto. Da considerare anche il fatto che i report di encase derivano da analisi richieste dall’operatore, lo stesso deve quindi “trasportare” il risultato nel rapporto definitivo. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase On The Road Relatore Marco Veronelli
- Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase Sistema di analisi forense nato nel 1997 dalla Guidance Software di Pasadena USA Metodologia alternativa all’analisi, spostamento del controllo dal supporto reale all’immagine inalterabile dello stesso mediante acquisizione. Prodotto “vivo” che si modifica nel corso del tempo. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase Dalla versione 3, abbandona in parte l’interfaccia DOS, diventando “Windows Like”, Oggi siamo alla versione 6, diverse feature inserite nel sistema dall’analisi delle caselle ricostruite nel loro insieme all’analisi dei logifile dei server, alla ricostruzione dei volumi Raid. Ampia possibilità di gestione tramite scripting e programmazione - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase Obiettivi: - Analisi della prova - Preservazione della catena di salvaguardia della prova - NON invadenza - Ripetibilità - Potenti script - Possibilità di lavoro in “Teamwork” - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase Attualmente è l’unico sistema certificato riconosciuto dalla legge italiana per l’analisi della prova informatica. Vi sono altri sistemi di acquisizione ed analisi quali i vari “Live Cd” basati su linux, ma non sono certificati. Genera un Hash MD5 su tutti gli elementi analizzati, dai supporti ai singoli files. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase COME FUNZIONA: --> Acquisizione del supporto tramite dispositivo “Fast Block” che impedisce la scrittura, generazione Hash acquisizione --> Analisi dei supporti tramite interfaccia e utilizzo di metodi quali “keywords” o per elementi > Reportistica, utilizzo del sistema di bookmarks e report - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Encase Sessione “Hands On”

Cellebrite Ufed Ufed è un sistema portatile, automatizzato per l’estrapolazione dei contenuti dei telefoni cellulari. Lo strumento può essere utilizzato sia in ambito di analisi sul campo sia in analisi successiva in laboratorio - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Cellebrite Ufed Ufed è: - NON Invadente - RIPETIBILE - CERTIFICATO - Genera Signature MD5 - Supporta oltre modelli - Possibilità di Analisi “Dump” - Reportistica “Html Based” - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Cellebrite Ufed Tramite l’analisi con Ufed è possibile gestire oltre telefoni cellulari di tutte le marche e modelli, sia europei che extra-europei. Vi è la possibilità di analizzare anche i “Dump” fisici della memoria del cellulare con programmi quali Encase. Dalla SIM (se sbloccata) è possibile estrapolare tutti gli elementi compresi quelli cancellati. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Cellebrite Ufed E’ possibile creare un “Clone” della Sim Card per evitare il blocco del telefono. Ricca dotazione di cavi per il collegamento L’analisi ed il report sono ripetibili - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Ufed in ambito giuridico
E’ un sistema certificato Genera report con signature MD5 E’ ripetibile Non altera la prova Permette l’analisi “sul campo” - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Ufed in ambito giuridico
In ambito giuridico è necessario porre attenzione sugli elementi essenziali da riportare sui verbali e sulle perizie quali: - Codice IMEI del Telefono Cellulare - Codice IMSI della Sim Card - Marca e Modello del Telefono Cellulare - Eventuali Memory Card presenti Tutti questi elementi devono essere riportati in ogni comunicazione oltre che sulla perizia. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Ufed On The Road Relatore Marco Veronelli

Cellebrite Ufed Sessione “Hands On”

Intercettazione Internet
La realtà attuale porta alla ribalta l’intercettazione di Internet nella sua globalità (web, mail, telefonia, chat) Necessità di formare e crescere del personale molto istruito e capace di interpretare i risultati estrapolati dalla moltitudine di dati presenti nelle analisi internet. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Possibilità di estrapolare informazioni su materiali molto differenti: - Web - Mail - News - Chat - Telefonia Voip - Streaming - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Cosa è necessario: - Sonda presso il gestore che “catturi” i dati provenienti dalla linea sotto controllo - A seconda del tipo di intercettazione (Tipo 1 o Tipo 2) obbligo (nel Tipo 1) oppure no di un secondo server presso la Procura di competenza - Client presso gli operativi che dovranno visionare il materiale - Connettività dedicata ottimizzata da installare presso la sonda e presso i client. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS G.p.s. = Global Positioning System - flotta di satelliti che permettono il geo posizionamento su una mappa degli apparati predisposti alla loro lettura - il gps è un apparato che puo’ essere occultato di ridotte dimensioni a lunga durata. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS Permette di rilevare in diretta la posizione dell’indagato, puo’ fornire anche diversi allarmi quali: - movimento - stato della periferica (ok / ko) Puo’ essere installato esternamente (a batteria, occultato nella autovettura fornisce il posizionamento) Puo’ essere installato internamente alla autovettura, di solito in accoppiamento con un ambientale veicolare. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS La durata minima del servizio è di 15 giorni, salvo diverse indicazioni. E’ rinnovabile di norma di 15 giorni in 15 giorni. Mediamente una batteria per il gps esterno puo’ durare dai 35 ai 55 giorni a seconda dell’utilizzo che viene effettuato. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS I metodi di funzionamento sono vari: - Sola Diretta (ricevere in continuazione i punti dalla periferica) - SMS Movimento (la periferica invia sms ogni n. secondi mostrando la posizione) - A Richiesta: l’operativo decide come e quando contattare la periferica. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS Pericoli derivanti dall’attività: - mancata installazione dell’apparato - perdita dell’apparato esterno per sganciamento - scoperta dell’apparato da parte dell’indagato - rottura dell’apparato per agente atmosferico - scaricamento del pacco batterie - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS Come si svolge l’attività:
1) Analisi dell’autovettura e scelta del tipo di apparato (Interno od Esterno) 2) Richiesta all’A.G. dell’autorizzazione a montare l’apparato 3) Installazione dell’apparato da parte della P.G. o dell’Ausiliario in coadiuvazione 4) Analisi degli eventi tramite il terminale in dotazione - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS 5) Fermo del veicolo per realizzazione attività
6) Salvataggio dei dati dal terminale e generazione di un report cartografico (Salvataggio “Storico”) 7) Disinstallazione apparati dall’autovettura 8) Deposito del supporto all’A.G. e verbale di fine attività. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS Ad oggi esistono svariate case produttrici e moltissimi prodotti atti alle operazioni di geo posizionamento Tra le altre ricordiamo queste tipologie di GPS: - GSM Dati: utilizza o gli sms o il canale “dati” delle sim M2M per la trasmissione a Baud --> Pro: Semplicità del dispositivo, tipo di canale dati “sicuro” anche in scarso campo. --> Contro: Tecnologia “vecchia”, lentezza. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS - GSM GPRS: utilizza il canale dati dell’APN del gestore per inviare le informazioni ad un server centrale: --> Pro: Nuova tecnologia, fruibilità. --> Contro: Copertura scarsa, rischio di perdita dei dati. - GSM DUAL SIM: utilizza 2 sim di 2 gestori per inviare le informazioni: --> Pro: Tecnologia all’avanguardia, copertura --> Contro: Consumo della batteria, problemi in fase di ponte “ibrido” - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Il GPS Sessione Hands-On

WAYTrack - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Telecamere Occultate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -

Sessione Domande/Risposte

- Grazie per la partecipazione -

Corso Analisi Forense e Tecniche Investigative

Presentazioni simili

Presentazione sul tema: "Corso Analisi Forense e Tecniche Investigative"— Transcript della presentazione:

Presentazioni simili

Sul progetto

Feed-back

Entrare

Autorizzarsi attraverso i social network:

Corso Analisi Forense e Tecniche Investigative

Presentazioni simili

Presentazione sul tema: "Corso Analisi Forense e Tecniche Investigative"— Transcript della presentazione:

Presentazioni simili

Sul progetto

Feed-back