La presentazione è in caricamento. Aspetta per favore

La presentazione è in caricamento. Aspetta per favore

WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright - 2009 - Waylog Srl - Via Italia Libera 13 - 22100 Como - Tel. 031 242370.

Presentazioni simili


Presentazione sul tema: "WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright - 2009 - Waylog Srl - Via Italia Libera 13 - 22100 Como - Tel. 031 242370."— Transcript della presentazione:

1 WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

2 Lezione 1 - Docente Marco Bodecchi Aspetti Generali Utilizzo di Encase in ambito giuridico Utilizzo di Cellebrite Ufed in ambito giuridico Lintercettazione Telematica Internet Utilizzo di Apparati GPS - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

3 Aspetti Generali I fatti di cronaca hanno portato alla ribalta lutilizzo di materiali informatici nel ruolo probatorio, esempi sono - il caso Kercher di Perugia - il caso Poggi di Garlasco Le ultime analisi rivelano come i reati di tipo informatico o commessi tramite strumenti informatici siano in aumento - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

4 Si sta assistendo ad un utilizzo della prova informatica anche in sede dibattimentale: - Omicidio di Erba - Omicidio di Lecco Limpiego delle prove inoltre non sono limitate alla sola sfera giuridica Spesso le prove documentali che diventano elementi essenziali nei processi sono elementi digitali che devono essere estratti in modo opportuno dai computer ove sono memorizzate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

5 Tra laltro ricordiamo: - Messaggi - Storico Chat Internet - Documenti Crittati - Navigazione Internet Dalle analisi dei reperti possiamo trovarci di fronte a diverse domande ad esempio: - Il Personal Computer è stato utilizzato per accedere ad una rete o a documenti potenzialmente riservati in modo abusivo, i documenti sono stati successivamente reinviati ad altri? - Il reperto è stato oggetto di scambio di materiale di natura pedo pornografica? - E possibile risalire allidentità dellutilizzatore del Personal Computer? - Possiamo affermare che il telefono cellulare sia implicato nelle indagini? - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

6 Tutte queste domande hanno come risposta una scienza chiamata Informatica Forense o Computer Forensics. Oggi ci occupiamo dellapprofondimento di questi argomenti. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

7 La Traccia Digitale Quando utilizziamo un apparato elettronico, lo stesso ha come elemento negativo di lasciare delle tracce del nostro passaggio Per traccia informatica o digitale intendiamo: - File generati dal Personal Computer - File di log - Modifiche ai documenti quali data ed ora - Trasmissione dati tra personal computer (sniffer internet) - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

8 Immaterialità degli elementi Purtroppo per tutti questi corpi di reato dobbiamo per forza di cose parlare di immaterialità in quanto consistono in sequenze di bit che vengono inserite nei dispositivi di archiviazione dati. Per vedere questa traccia digitale, si deve accedere al dispositivo su cui essa è stata memorizzata. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

9 Possiamo quindi distinguere in: - Dispositivi di Memorizzazione NON volatili quali hard disk, penne usb, cd/dvd, che non necessitano di alimentazione per trattenere le informazioni - Dispositivi di Memorizzazione volatili quali memorie RAM, che per forza di cose devono essere alimentate per trattenere le informazioni - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

10 E essenziale nel trattamento delle tracce digitali che il materiale sia: - Autentico: deve essere certa la provenienza - Integro: non presentare alterazioni - Veritiero: ottenuto dallinterpretazione dei dati - Completo: raccolto con i dati relativi - Legale: rispettando le leggi vigenti - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

11 Autentica Dobbiamo capire come la prova che ci viene sottoposta sia finita nel reperto che andiamo ad analizzare. (Ricordiamo lazione di virus, malware oppure intenzionalmente) - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

12 Integra La prova denominata digitale presenta un alto fattore di fragilità ovvero puo essere modificata e manomessa se non maneggiata in maniera opportuna. Su tutto ricordiamo: - Avvio dei personal computer senza dispositivi fast block - Spegnimento brutale dei supporti di memorizzazione. Dobbiamo quindi attuare tutta una serie di accortezze tali per cui la prova sia dimostrabilmente non modificata. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

13 Vera La traccia digitale non è nientaltro che una serie di 0 ed 1 sparsi in una superficie atta al loro deposito. Quello che noi definiamo Informazione la somma di 2 elementi: il dato fisico e la nostra interpretazione Si deve essere altamente specializzati e conoscere in maniera certa il sistema operativo che stiamo analizzando ed il tipo di prova che ci viene presentata - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

14 Completa Lanalisi non puo essere fine a sé stessa col ritrovamento dellelemento fisico, dobbiamo per forza di cose accertare anche con che fine il nostro utente abbia detenuto questo materiale: - Detenzione e/o divulgazione - Navigazione accidentale (pop up o spyware) - FileSharing La completezza puo essere data solo ed unicamente se abbiamo una ferrata e profonda conoscenza del sistema operativo. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

15 Legale Abbiamo affrontato un salto generazionale: --> Metodiche tradizionali : NO TECNOLOGIA --> Metodiche moderne: SI TECNOLOGIA Necessità quindi di adozione di specifiche cautele nel trattamento della prova digitale La P.G. operante in coadiuvazione con gli Ausiliari di P.G. devono per forza di cose: - adottare misure dirette ad assicurare la conservazione dei dati originali ed impedirne lalterazione - acquisire i dati mediante copia su adeguato supporto che ne permetta lanalisi e certifichi limmodificabilità - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

16 La Metodologia di Indagine Possiamo identificare 4 passaggi essenziali nellanalisi forense: 1) CONGELAMENTO della prova 2) ACQUISIZIONE della prova 3) ANALISI della prova 4) RELAZIONE - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

17 Il Congelamento Nel corso delle operazioni di P.G. dobbiamo congelare i supporti, ovvero impedire che gli stessi possano essere alterati da scritture o cancellazioni. Per fare questo: - spegnere il Personal Computer - estrarre il disco fisso o supporto di memorizzazione - sigillare il supporto ed annotare i numeri di serie se presenti - verificare data ed ora sia del personal computer che quella effettiva del congelamento - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

18 LAcquisizione La prova deve essere acquisita per preservarne lintegrità e per effettuare lanalisi. Questa copia deve essere fisica ovvero tutta la superficie del dispositivo deve essere clonata. Si deve calcolare un codice Hash per verificare lintegrità del dispositivo stesso Il file così prodotto viene successivamente analizzato - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

19 LAnalisi Scopo dellanalisi è la ricerca degli elementi di prova che permettono di ricostruire cosa è stato fatto sul dispositivo e di evincere prove a favore o sfavore dellaccusa e difesa. Utilizziamo appositi software di analisi forense (Encase) Questa analisi a livello di singolo cluster ricerca anche elementi che siano in parte o totalmente cancellati. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

20 La Relazione Al termine della fase di analisi della prova abbiamo la stesura di una relazione che permetta di riscontrare in modo univoco e certo quanto rilevato, rispondendo in parte o in toto a quelli che possono essere i quesiti posti dal P.M. E essenziale la chiarezza e la puntualità con cui vengono analizzate le prove e stesa la relazione, il grado di conoscenza delle apparecchiature deve essere molto elevato. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

21 Encase in Ambito Giuridico Encase è un software di analisi forense Permette di gestire i supporti in modalità read only senza alterare la prova e consentendo la riproducibilità della stessa Gestisce acquisizione di supporti sia fisici che rimovibili - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

22 Gestione della Prova E necessario che vengano annotate: - Hash File dei supporti acquisiti - Hash File degli elementi estrapolati - Seriale dei supporti acquisiti - Apparecchiature Fast Block utilizzate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

23 Obblighi della P.G. La P.G. operante deve richiedere laffiancamento di ausiliari di P.G. preparati per le attività di estrapolazione dati e salvataggio degli elementi Attenersi alle regole di congelamento ed acquisizione della prova precedentemente illustrata Fornire indicazioni al consulente circa gli elementi da estrapolare - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

24 Affiancamento Ausiliari Gli ausiliari di P.G. possono quindi essere interpellati per le analisi dei reperti, è necessario coordinarsi con la P.G. operante per fornire gli elementi utili alla ricerca quali parole chiave, , documenti di varia natura, chat. Solo una pianificazione precisa e puntuale di questi elementi permette di gestire in tempi brevi e con risultati profiqui tutta la procedura di analisi forense - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

25 I Rapporti Encase genera dei rapporti poco intelleggibili alle persone al di fuori dei lavori, quindi è essenziale unanalisi e una ristesura di quelli che possiamo considerare delle bozze di rapporto. Da considerare anche il fatto che i report di encase derivano da analisi richieste dalloperatore, lo stesso deve quindi trasportare il risultato nel rapporto definitivo. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

26 Encase On The Road Relatore Marco Veronelli - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

27 Encase Sistema di analisi forense nato nel 1997 dalla Guidance Software di Pasadena USA Metodologia alternativa allanalisi, spostamento del controllo dal supporto reale allimmagine inalterabile dello stesso mediante acquisizione. Prodotto vivo che si modifica nel corso del tempo. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

28 Encase Dalla versione 3, abbandona in parte linterfaccia DOS, diventando Windows Like, Oggi siamo alla versione 6, diverse feature inserite nel sistema dallanalisi delle caselle ricostruite nel loro insieme allanalisi dei logifile dei server, alla ricostruzione dei volumi Raid. Ampia possibilità di gestione tramite scripting e programmazione - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

29 Encase Obiettivi: - Analisi della prova - Preservazione della catena di salvaguardia della prova - NON invadenza - Ripetibilità - Potenti script - Possibilità di lavoro in Teamwork - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

30 Encase Attualmente è lunico sistema certificato riconosciuto dalla legge italiana per lanalisi della prova informatica. Vi sono altri sistemi di acquisizione ed analisi quali i vari Live Cd basati su linux, ma non sono certificati. Genera un Hash MD5 su tutti gli elementi analizzati, dai supporti ai singoli files. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

31 Encase COME FUNZIONA: --> Acquisizione del supporto tramite dispositivo Fast Block che impedisce la scrittura, generazione Hash acquisizione --> Analisi dei supporti tramite interfaccia e utilizzo di metodi quali keywords o per elementi. --> Reportistica, utilizzo del sistema di bookmarks e report - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

32 Encase Sessione Hands On - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

33 Cellebrite Ufed Ufed è un sistema portatile, automatizzato per lestrapolazione dei contenuti dei telefoni cellulari. Lo strumento può essere utilizzato sia in ambito di analisi sul campo sia in analisi successiva in laboratorio - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

34 Ufed è: - NON Invadente - RIPETIBILE - CERTIFICATO - Genera Signature MD5 - Supporta oltre modelli - Possibilità di Analisi Dump - Reportistica Html Based Cellebrite Ufed - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

35 Tramite lanalisi con Ufed è possibile gestire oltre telefoni cellulari di tutte le marche e modelli, sia europei che extra-europei. Vi è la possibilità di analizzare anche i Dump fisici della memoria del cellulare con programmi quali Encase. Dalla SIM (se sbloccata) è possibile estrapolare tutti gli elementi compresi quelli cancellati. Cellebrite Ufed - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

36 E possibile creare un Clone della Sim Card per evitare il blocco del telefono. Ricca dotazione di cavi per il collegamento Lanalisi ed il report sono ripetibili Cellebrite Ufed - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

37 Ufed in ambito giuridico E un sistema certificato Genera report con signature MD5 E ripetibile Non altera la prova Permette lanalisi sul campo - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

38 Ufed in ambito giuridico In ambito giuridico è necessario porre attenzione sugli elementi essenziali da riportare sui verbali e sulle perizie quali: - Codice IMEI del Telefono Cellulare - Codice IMSI della Sim Card - Marca e Modello del Telefono Cellulare - Eventuali Memory Card presenti Tutti questi elementi devono essere riportati in ogni comunicazione oltre che sulla perizia. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

39 Ufed On The Road Relatore Marco Veronelli - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

40 Cellebrite Ufed Sessione Hands On - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

41 Intercettazione Internet La realtà attuale porta alla ribalta lintercettazione di Internet nella sua globalità (web, mail, telefonia, chat) Necessità di formare e crescere del personale molto istruito e capace di interpretare i risultati estrapolati dalla moltitudine di dati presenti nelle analisi internet. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

42 Possibilità di estrapolare informazioni su materiali molto differenti: - Web - Mail - News - Chat - Telefonia Voip - Streaming Intercettazione Internet - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

43 Cosa è necessario: - Sonda presso il gestore che catturi i dati provenienti dalla linea sotto controllo - A seconda del tipo di intercettazione (Tipo 1 o Tipo 2) obbligo (nel Tipo 1) oppure no di un secondo server presso la Procura di competenza - Client presso gli operativi che dovranno visionare il materiale - Connettività dedicata ottimizzata da installare presso la sonda e presso i client. Intercettazione Internet - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

44 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

45 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

46 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

47 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

48 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

49 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

50 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

51 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

52 FirePacket - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

53 Il GPS G.p.s. = Global Positioning System - flotta di satelliti che permettono il geo posizionamento su una mappa degli apparati predisposti alla loro lettura - il gps è un apparato che puo essere occultato di ridotte dimensioni a lunga durata. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

54 Permette di rilevare in diretta la posizione dellindagato, puo fornire anche diversi allarmi quali: - movimento - stato della periferica (ok / ko) Puo essere installato esternamente (a batteria, occultato nella autovettura fornisce il posizionamento) Puo essere installato internamente alla autovettura, di solito in accoppiamento con un ambientale veicolare. Il GPS - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

55 La durata minima del servizio è di 15 giorni, salvo diverse indicazioni. E rinnovabile di norma di 15 giorni in 15 giorni. Mediamente una batteria per il gps esterno puo durare dai 35 ai 55 giorni a seconda dellutilizzo che viene effettuato. Il GPS - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

56 I metodi di funzionamento sono vari: - Sola Diretta (ricevere in continuazione i punti dalla periferica) - SMS Movimento (la periferica invia sms ogni n. secondi mostrando la posizione) - A Richiesta: loperativo decide come e quando contattare la periferica. Il GPS - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

57 Pericoli derivanti dallattività: - mancata installazione dellapparato - perdita dellapparato esterno per sganciamento - scoperta dellapparato da parte dellindagato - rottura dellapparato per agente atmosferico - scaricamento del pacco batterie Il GPS - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

58 Come si svolge lattività: 1) Analisi dellautovettura e scelta del tipo di apparato (Interno od Esterno) 2) Richiesta allA.G. dellautorizzazione a montare lapparato 3) Installazione dellapparato da parte della P.G. o dellAusiliario in coadiuvazione 4) Analisi degli eventi tramite il terminale in dotazione Il GPS - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

59 Il GPS 5) Fermo del veicolo per realizzazione attività 6) Salvataggio dei dati dal terminale e generazione di un report cartografico (Salvataggio Storico) 7) Disinstallazione apparati dallautovettura 8) Deposito del supporto allA.G. e verbale di fine attività. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

60 Il GPS Ad oggi esistono svariate case produttrici e moltissimi prodotti atti alle operazioni di geo posizionamento Tra le altre ricordiamo queste tipologie di GPS: - GSM Dati: utilizza o gli sms o il canale dati delle sim M2M per la trasmissione a 9600 Baud --> Pro: Semplicità del dispositivo, tipo di canale dati sicuro anche in scarso campo. --> Contro: Tecnologia vecchia, lentezza. - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

61 Il GPS - GSM GPRS: utilizza il canale dati dellAPN del gestore per inviare le informazioni ad un server centrale: --> Pro: Nuova tecnologia, fruibilità. --> Contro: Copertura scarsa, rischio di perdita dei dati. - GSM DUAL SIM: utilizza 2 sim di 2 gestori per inviare le informazioni: --> Pro: Tecnologia allavanguardia, copertura --> Contro: Consumo della batteria, problemi in fase di ponte ibrido - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

62 Sessione Hands-On Il GPS - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

63 WAYTrack - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

64 WAYTrack - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

65 WAYTrack - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

66 WAYTrack - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

67 WAYTrack - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

68 Telecamere Occultate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

69 Telecamere Occultate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

70 Telecamere Occultate - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

71 Sessione Domande/Risposte - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it

72 - Grazie per la partecipazione - - Copyright Waylog Srl - Via Italia Libera Como - Tel Web: -http://www.waylog.it


Scaricare ppt "WAYlog Intelligence Corso Analisi Forense e Tecniche Investigative - Copyright - 2009 - Waylog Srl - Via Italia Libera 13 - 22100 Como - Tel. 031 242370."

Presentazioni simili


Annunci Google