Informatica forense · Autorità investigative
In che modo le sessioni del server terminal e del desktop remoto vengono assegnate ai singoli utenti?
Diversi utenti lavorano sullo stesso Server, per cui le tracce dei file locali, da sole, potrebbero risultare poco significative.
Perché questa domanda è importante per le autorità investigative
Nei procedimenti investigativi complessi, un singolo riscontro tecnico raramente è sufficiente. È fondamentale che i riferimenti relativi a dispositivi, account, utenti, Server e cloud siano separati in modo accurato dal punto di vista tecnico e che vengano poi collegati tra loro solo laddove i dati lo giustifichino effettivamente.
Approccio tecnico di analisi
Mettiamo in correlazione gli ID di sessione, i dati di accesso e di uscita, il contesto di processo e dell’utente, nonché i dispositivi di origine e le tracce di rete.
Dove si trova il limite della dichiarazione
Il fatto che una sessione sia attiva non dimostra automaticamente che, nel momento in questione, fosse gestita in modo interattivo.
Perché LanCologne?
LanCologne integra le competenze interne di un’autorità investigativa nei casi in cui sia necessaria una consulenza tecnica specialistica complessa, una validazione indipendente o un’ulteriore analisi approfondita. Il punto di partenza rimane sempre la questione investigativa concreta.
Non lavoriamo con l’obiettivo di confermare un’ipotesi di sospetto già esistente. I risultati tecnici a carico e a discarico vengono valutati secondo gli stessi criteri. Ciò è particolarmente importante in contesti aziendali complessi, nel cloud e in ambienti con più dispositivi, poiché contenuti, account o tracce di rete identici possono spesso avere diverse cause tecnicamente plausibili.
I dati di partenza vengono documentati in modo univoco. Ove tecnicamente possibile, l’analisi viene effettuata su copie di backup verificate o su copie di lavoro adeguate. I risultati critici non vengono ripresi esclusivamente da un report automatizzato. Vengono verificati l’origine, la logica di generazione e il contesto di sistema; se necessario, un risultato centrale viene convalidato sulla base dei dati primari o di un secondo metodo indipendente.
Il risultato viene formulato in modo tale che gli investigatori e i pubblici ministeri possano individuare quali elementi siano tecnicamente provati, quali siano solo presunti, quali siano i risultati contrari e quali punti rimangano in sospeso. Le basi tecniche essenziali rimangono documentate in modo comprensibile per un successivo riesame giudiziario.
Dal mandato investigativo alla testimonianza attendibile
Reperti a carico e a discarico
L'indagine rimane aperta. Se più fonti attendibili confermano un'ipotesi investigativa, il nesso tecnico viene illustrato in modo comprensibile. Se altre fonti la contraddicono o se rimane possibile una spiegazione tecnica alternativa, anche questo viene documentato. Il compito del perito non è quello di appianare le contraddizioni a favore di una narrazione desiderata.
Comprensibile per le autorità investigative, la difesa e il tribunale
Il risultato principale viene formulato in un linguaggio chiaro. Nella parte tecnica vengono documentate le fonti, i riferimenti temporali, le identità, le informazioni sull’integrità e le correlazioni essenziali ai fini della verifica. In questo modo, un altro esperto qualificato di informatica forense potrà in seguito verificare le conclusioni decisive sulla base degli stessi dati.
LanCologne in qualità di perito forense informatico esterno indipendente
Quando un’autorità di polizia deve far esaminare in modo approfondito o indipendente un caso digitale complesso, LanCologne offre il proprio supporto con un’indagine trasparente e imparziale. L’attenzione non è rivolta al numero di riscontri tecnici, bensì a fornire una risposta attendibile alla specifica domanda investigativa.
Quadro giuridico
La direzione delle indagini e la valutazione giuridica spettano agli organi di polizia giudiziaria competenti. L’articolo 160 del Codice di procedura penale (StPO) impone alla Procura di accertare i fatti e, espressamente, di indagare sia sulle circostanze a carico che su quelle a discarico. Ai sensi dell’articolo 161 del Codice di procedura penale, la Procura può svolgere autonomamente le indagini o farle svolgere da autorità e funzionari delle forze di polizia; l’articolo 163 del Codice di procedura penale disciplina i compiti della polizia nel corso delle indagini preliminari.
Per i periti si applicano, in linea di principio, gli articoli 72 e seguenti del Codice di procedura penale (StPO). L’articolo 161a, comma 1, dello StPO obbliga i periti a presentarsi, su convocazione, dinanzi alla Procura e a rendere la propria perizia; salvo diversa disposizione, si applicano per analogia le norme della settima sezione del primo libro. L’articolo 82 del Codice di procedura penale disciplina la forma di presentazione della perizia nella fase istruttoria.
Il sequestro e la confisca sono disciplinati in particolare dagli articoli 94 e 98 del Codice di procedura penale. L’articolo 110, comma 3, del Codice di procedura penale disciplina l’ispezione dei supporti di memorizzazione elettronici e, alle condizioni ivi indicate, consente anche il salvataggio dei dati rilevanti ai fini dell’indagine. Spetta alle autorità statali competenti, e non a LanCologne, decidere in merito alla legittimità, alla portata e alla disposizione di tali misure.
Ai sensi dell’articolo 1, comma 3, della JVEG, il ricorso a un legale da parte della polizia o di un’altra autorità di polizia giudiziaria, su incarico o previa approvazione della Procura, equivale, ai fini del diritto al compenso, a un ricorso da parte della Procura stessa.
Domande frequenti
LanCologne – Informatica forense per le autorità investigative penali
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento
- Come vengono analizzati dal punto di vista forense gli ambienti VDI?
- Come vengono classificati i dati MDM nelle indagini relative agli smartphone?
- È tecnicamente possibile ricostruire i dati cancellati tramite un’operazione di Remote Wipe o di cancellazione remota?
- In che modo i sistemi di backup nelle reti aziendali vengono utilizzati come fonte di indizi nelle indagini?