Informatica forense · Linux
Analisi delle linee temporali di Autopsy per sistemi Linux
Una linea temporale forense riunisce gli eventi del file system, le voci di log e altri elementi temporali in una panoramica unitaria e ordinata cronologicamente, facilitando così notevolmente la ricostruzione di sequenze complesse di incidenti.
Nei sistemi Linux questo aspetto è particolarmente importante, poiché le distribuzioni, le versioni del kernel, le architetture di memoria e i meccanismi di sicurezza possono variare notevolmente. Un classico Debian-Server, un nodo Kubernetes in container e un sistema embedded non devono essere trattati secondo lo stesso schema tecnico. Il file system, la crittografia, l'ambiente di esecuzione e lo stato specifico del sistema determinano quali dati sono accessibili e quale metodo di backup comporta le minori modifiche.
Per la creazione di una simile cronologia vengono raccolti dati provenienti da numerose fonti diverse, la cui corretta interpretazione tecnica e normalizzazione temporale richiedono una solida competenza forense.
Perché LanCologne?
LanCologne non analizza i sistemi Linux secondo uno schema standard generico, ma sulla base dell’hardware, della distribuzione e dell’architettura di sicurezza specifici. I nostri collaboratori vantano decenni di esperienza nel settore delle tecnologie dell’informazione e una pluriennale esperienza pratica nell’informatica forense. Forniamo supporto ad aziende, avvocati, privati, nonché regolarmente a tribunali e autorità pubbliche nell’accertamento tecnico di fatti di natura digitale.
L'analisi viene effettuata di norma su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale viene conservato inalterato oppure, qualora siano necessari interventi tecnicamente inevitabili, questi vengono documentati in modo trasparente e il materiale viene conservato a prova di manomissione.
Il nostro metodo di lavoro e gli strumenti utilizzati
La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati il sistema, l'hardware, la connessione di rete, lo stato operativo visibile e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno effettuare un'acquisizione in tempo reale oppure se sia tecnicamente giustificabile un accesso offline tramite un sistema di recupero forense.
Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura orientata ai blocchi, backup logico e triage mirato. La scelta non dipende da considerazioni di praticità, bensì dall’architettura di archiviazione, dalla crittografia, dalla disponibilità del sistema e dalla specifica questione probatoria. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Eventuali modifiche inevitabili dello stato durante le acquisizioni in tempo reale vengono espressamente registrate.
Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.
Per la ricostruzione della cronologia, riuniamo in una panoramica unitaria i timestamp del file system, i dati di log e altri elementi temporali, verificando la plausibilità di date sospette o contraddittorie sulla base di fonti di dati indipendenti e complementari.
Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova" automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se una nuova versione del kernel o della distribuzione modifica il formato di un protocollo o una struttura di dati, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.
Questo è anche il motivo per cui utilizziamo diversi strumenti. The Sleuth Kit e Autopsy sono in grado di analizzare i file system Linux in modo nativo e con codice aperto; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente analisi molto dettagliate dei file system e dei dati grezzi. Se le analisi indipendenti coincidono, ciò aumenta l’affidabilità dei risultati. Se invece non coincidono, se ne indaga la causa e non ci si limita a selezionare semplicemente il risultato più conveniente.
Campi di applicazione tipici
Ecco come si svolge l'analisi forense
Il sistema Linux viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è in sessione, bloccato o collegato a supporti di dati esterni o a reti. Queste informazioni potrebbero rivelarsi decisive in seguito.
Vengono identificati la distribuzione, la versione del kernel, il filesystem, la crittografia e i meccanismi di sicurezza rilevanti. Solo sulla base di questi elementi è possibile determinare il metodo di acquisizione più adeguato.
Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, si può ricorrere a un'immagine orientata ai blocchi tramite un sistema di recupero forense, a un'acquisizione in tempo reale del sistema in esecuzione o a una selezione mirata di singole directory. Ogni fase viene registrata.
Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.
The Sleuth Kit, ovvero Autopsy, Belkasoft X e X-Ways, vengono combinati a seconda delle esigenze. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.
Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i log o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.
Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.
Perché questo ambito di indagine è rilevante dal punto di vista forense?
Una linea temporale forense riunisce gli eventi del file system, le voci di log e altri elementi temporali in una panoramica unitaria e ordinata cronologicamente, facilitando così notevolmente la ricostruzione di sequenze complesse di incidenti.
Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di log possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.
Per la creazione di una simile cronologia vengono raccolti dati provenienti da numerose fonti diverse, la cui corretta interpretazione tecnica e normalizzazione temporale richiedono una solida competenza forense.
Soprattutto sui moderni sistemi Linux, inoltre, il tentativo di effettuare un’analisi „classica" dei supporti dati può fallire a causa di limiti tecnici. Crittografia, containerizzazione, memoria volatile e configurazioni dinamiche evidenziano chiaramente perché sia così importante effettuare un backup a regola d'arte prima dell'analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.
Domande frequenti
LanCologne – Analisi forense di Linux a Colonia
Avete bisogno di un’analisi professionale in materia di „Analisi cronologica Autopsy per sistemi Linux"? LanCologne vi supporta nel backup a prova di contestazione, nell’analisi a più livelli e nella documentazione tracciabile. L’aspetto fondamentale non è quello di generare il maggior numero possibile di riscontri automatici, bensì di acquisire prove tecnicamente attendibili e verificabili.