Informatica forense · Linux
Eseguire un backup forense del Raspberry Pi
Il Raspberry Pi e altri computer a scheda singola simili vengono utilizzati sia per progetti amatoriali sia, sempre più spesso, per attività professionali di automazione e controllo, e solitamente memorizzano il proprio sistema operativo Linux su una scheda SD rimovibile.
Nei sistemi Linux questo aspetto è particolarmente importante, poiché le distribuzioni, le versioni del kernel, le architetture di memoria e i meccanismi di sicurezza possono variare notevolmente. Un classico Debian-Server, un nodo Kubernetes in container e un sistema embedded non devono essere trattati secondo lo stesso schema tecnico. Il file system, la crittografia, l'ambiente di esecuzione e lo stato specifico del sistema determinano quali dati sono accessibili e quale metodo di backup comporta le minori modifiche.
Questa architettura di memoria rimovibile consente un backup forense relativamente semplice, a condizione che la scheda SD sia fisicamente accessibile; tuttavia, può comportare ulteriori difficoltà nel caso di memoria integrata o aggiuntiva.
Perché LanCologne?
LanCologne non analizza i sistemi Linux secondo uno schema standard generico, ma sulla base dell’hardware, della distribuzione e dell’architettura di sicurezza specifici. I nostri collaboratori vantano decenni di esperienza nel settore delle tecnologie dell’informazione e una pluriennale esperienza pratica nell’informatica forense. Forniamo supporto ad aziende, avvocati, privati, nonché regolarmente a tribunali e autorità pubbliche nell’accertamento tecnico di fatti di natura digitale.
L'analisi viene effettuata di norma su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale viene conservato inalterato oppure, qualora siano necessari interventi tecnicamente inevitabili, questi vengono documentati in modo trasparente e il materiale viene conservato a prova di manomissione.
Il nostro metodo di lavoro e gli strumenti utilizzati
La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati il sistema, l'hardware, la connessione di rete, lo stato operativo visibile e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno effettuare un'acquisizione in tempo reale oppure se sia tecnicamente giustificabile un accesso offline tramite un sistema di recupero forense.
Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura orientata ai blocchi, backup logico e triage mirato. La scelta non dipende da considerazioni di praticità, bensì dall’architettura di archiviazione, dalla crittografia, dalla disponibilità del sistema e dalla specifica questione probatoria. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Eventuali modifiche inevitabili dello stato durante le acquisizioni in tempo reale vengono espressamente registrate.
Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.
Per i sistemi Raspberry Pi, se possibile, eseguiamo il backup della scheda SD direttamente tramite un lettore in sola lettura e verifichiamo inoltre la presenza di memorie esterne o collegate tramite USB, che potrebbero anch’esse far parte del sistema complessivo.
Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova" automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se una nuova versione del kernel o della distribuzione modifica il formato di un protocollo o una struttura di dati, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.
Questo è anche il motivo per cui utilizziamo diversi strumenti. The Sleuth Kit e Autopsy sono in grado di analizzare i file system Linux in modo nativo e con codice aperto; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente analisi molto dettagliate dei file system e dei dati grezzi. Se le analisi indipendenti coincidono, ciò aumenta l’affidabilità dei risultati. Se invece non coincidono, se ne indaga la causa e non ci si limita a selezionare semplicemente il risultato più conveniente.
Campi di applicazione tipici
Ecco come si svolge l'analisi forense
Il sistema Linux viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è in sessione, bloccato o collegato a supporti di dati esterni o a reti. Queste informazioni potrebbero rivelarsi decisive in seguito.
Vengono identificati la distribuzione, la versione del kernel, il filesystem, la crittografia e i meccanismi di sicurezza rilevanti. Solo sulla base di questi elementi è possibile determinare il metodo di acquisizione più adeguato.
Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, si può ricorrere a un'immagine orientata ai blocchi tramite un sistema di recupero forense, a un'acquisizione in tempo reale del sistema in esecuzione o a una selezione mirata di singole directory. Ogni fase viene registrata.
Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.
The Sleuth Kit, ovvero Autopsy, Belkasoft X e X-Ways, vengono combinati a seconda delle esigenze. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.
Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i log o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.
Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.
Perché questo ambito di indagine è rilevante dal punto di vista forense?
Il Raspberry Pi e altri computer a scheda singola simili vengono utilizzati sia per progetti amatoriali sia, sempre più spesso, per attività professionali di automazione e controllo, e solitamente memorizzano il proprio sistema operativo Linux su una scheda SD rimovibile.
Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di log possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.
Questa architettura di memoria rimovibile consente un backup forense relativamente semplice, a condizione che la scheda SD sia fisicamente accessibile; tuttavia, può comportare ulteriori difficoltà nel caso di memoria integrata o aggiuntiva.
Soprattutto sui moderni sistemi Linux, inoltre, il tentativo di effettuare un’analisi „classica" dei supporti dati può fallire a causa di limiti tecnici. Crittografia, containerizzazione, memoria volatile e configurazioni dinamiche evidenziano chiaramente perché sia così importante effettuare un backup a regola d'arte prima dell'analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.
Domande frequenti
LanCologne – Analisi forense di Linux a Colonia
Avete bisogno di un’analisi professionale sul tema „Backup forense del Raspberry Pi"? LanCologne vi supporta nell’esecuzione di backup a prova di contestazione, nell’analisi a più livelli e nella documentazione tracciabile. L’aspetto fondamentale non è ottenere il maggior numero possibile di risultati automatici, bensì acquisire prove tecnicamente attendibili e verificabili.