Informatica forense · Linux

Creazione di una timeline per sistemi Linux (Super-Timeline)

Una cosiddetta "super-timeline" riunisce i dati relativi ai timestamp provenienti da una vasta gamma di fonti diverse, dai metadati del file system ai log di sistema fino agli artefatti delle applicazioni, al fine di creare un quadro cronologico complessivo il più completo possibile.

Richiesta non vincolante

Nei sistemi Linux questo aspetto è particolarmente importante, poiché le distribuzioni, le versioni del kernel, le architetture di memoria e i meccanismi di sicurezza possono variare notevolmente. Un classico Debian-Server, un nodo Kubernetes in container e un sistema embedded non devono essere trattati secondo lo stesso schema tecnico. Il file system, la crittografia, l'ambiente di esecuzione e lo stato specifico del sistema determinano quali dati sono accessibili e quale metodo di backup comporta le minori modifiche.

Data l’enorme mole di dati di una simile “super-timeline”, è necessario un filtraggio e un’interpretazione mirati, incentrati sulla questione probatoria concreta, al fine di distinguere gli eventi rilevanti da quelli irrilevanti.

Perché LanCologne?

LanCologne non analizza i sistemi Linux secondo uno schema standard generico, ma sulla base dell’hardware, della distribuzione e dell’architettura di sicurezza specifici. I nostri collaboratori vantano decenni di esperienza nel settore delle tecnologie dell’informazione e una pluriennale esperienza pratica nell’informatica forense. Forniamo supporto ad aziende, avvocati, privati, nonché regolarmente a tribunali e autorità pubbliche nell’accertamento tecnico di fatti di natura digitale.

L'analisi viene effettuata di norma su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale viene conservato inalterato oppure, qualora siano necessari interventi tecnicamente inevitabili, questi vengono documentati in modo trasparente e il materiale viene conservato a prova di manomissione.

Il nostro metodo di lavoro e gli strumenti utilizzati

La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati il sistema, l'hardware, la connessione di rete, lo stato operativo visibile e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno effettuare un'acquisizione in tempo reale oppure se sia tecnicamente giustificabile un accesso offline tramite un sistema di recupero forense.

Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura orientata ai blocchi, backup logico e triage mirato. La scelta non dipende da considerazioni di praticità, bensì dall’architettura di archiviazione, dalla crittografia, dalla disponibilità del sistema e dalla specifica questione probatoria. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Eventuali modifiche inevitabili dello stato durante le acquisizioni in tempo reale vengono espressamente registrate.

Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.

In caso di eventi complessi, creiamo una “super-timeline” attingendo da un’ampia varietà di fonti temporali disponibili e successivamente la filtriamo in modo mirato sugli eventi rilevanti per la specifica questione probatoria, al fine di ottenere un risultato gestibile e significativo.

Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova" automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se una nuova versione del kernel o della distribuzione modifica il formato di un protocollo o una struttura di dati, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.

Questo è anche il motivo per cui utilizziamo diversi strumenti. The Sleuth Kit e Autopsy sono in grado di analizzare i file system Linux in modo nativo e con codice aperto; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente analisi molto dettagliate dei file system e dei dati grezzi. Se le analisi indipendenti coincidono, ciò aumenta l’affidabilità dei risultati. Se invece non coincidono, se ne indaga la causa e non ci si limita a selezionare semplicemente il risultato più conveniente.

Campi di applicazione tipici

•Perizie giudiziarie ed extragiudiziarie
•Acquisizione delle prove da Linux-Servern, -Workstations e sistemi embedded
•Analisi di diverse distribuzioni Linux e versioni del kernel
•Risposta agli incidenti e analisi del malware
•Analisi degli artefatti relativi al file system, agli utenti, alle applicazioni e al sistema
•Ricostruzione delle attività relative a file, utenti e rete
•Verifica incrociata dei risultati dei parser automatici
•Analisi di tracce cancellate, storiche o visibili solo indirettamente
•Documentazione per tribunali, avvocati, aziende e autorità pubbliche

Ecco come si svolge l'analisi forense

1Raccolta delle prove e documentazione dello stato dei fatti

Il sistema Linux viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è in sessione, bloccato o collegato a supporti di dati esterni o a reti. Queste informazioni potrebbero rivelarsi decisive in seguito.

2Classificazione tecnica

Vengono identificati la distribuzione, la versione del kernel, il filesystem, la crittografia e i meccanismi di sicurezza rilevanti. Solo sulla base di questi elementi è possibile determinare il metodo di acquisizione più adeguato.

3Salvataggio con garanzia di integrità dei dati

Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, si può ricorrere a un'immagine orientata ai blocchi tramite un sistema di recupero forense, a un'acquisizione in tempo reale del sistema in esecuzione o a una selezione mirata di singole directory. Ogni fase viene registrata.

4Verifica dell'integrità

Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.

5Analisi a più livelli

The Sleuth Kit, ovvero Autopsy, Belkasoft X e X-Ways, vengono combinati a seconda delle esigenze. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.

6Convalida manuale

Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i log o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.

7Relazione e riferimento alle prove

Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

Una cosiddetta "super-timeline" riunisce i dati relativi ai timestamp provenienti da una vasta gamma di fonti diverse, dai metadati del file system ai log di sistema fino agli artefatti delle applicazioni, al fine di creare un quadro cronologico complessivo il più completo possibile.

Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di log possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.

Data l’enorme mole di dati di una simile “super-timeline”, è necessario un filtraggio e un’interpretazione mirati, incentrati sulla questione probatoria concreta, al fine di distinguere gli eventi rilevanti da quelli irrilevanti.

Soprattutto sui moderni sistemi Linux, inoltre, il tentativo di effettuare un’analisi „classica" dei supporti dati può fallire a causa di limiti tecnici. Crittografia, containerizzazione, memoria volatile e configurazioni dinamiche evidenziano chiaramente perché sia così importante effettuare un backup a regola d'arte prima dell'analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.

Domande frequenti

Perché utilizza più programmi di analisi forense?+
Poiché nessun singolo programma è in grado di coprire completamente ogni distribuzione Linux, ogni artefatto e ogni configurazione particolare. Diversi percorsi di analisi indipendenti aiutano a convalidare i risultati importanti e a individuare gli errori di analisi.
Che ruolo hanno The Sleuth Kit e Autopsy?+
The Sleuth Kit è una libreria open source per l’analisi del file system e a basso livello, che supporta in modo nativo i file system tipici di Linux come ext4, XFS e Btrfs. Autopsy si basa su di essa e fornisce un’interfaccia strutturata per la gestione dei casi, le cronologie e i rapporti.
Perché aggiungere anche Belkasoft X e X-Ways?+
Belkasoft X offre funzionalità complete relative ad artefatti, ricerca e timeline, con supporto per i file system Linux/Unix. X-Ways consente analisi molto dettagliate del file system e dei dati grezzi. Entrambi possono fornire importanti verifiche incrociate.
Cosa fanno gli strumenti che avete sviluppato voi stessi?+
Vengono impiegati in modo mirato quando un software standard non è in grado di elaborare completamente un particolare artefatto o quando è necessaria un’ulteriore convalida. In questo contesto, i dati grezzi vengono letti in modo controllato e l’elaborazione viene documentata in modo tale che il risultato rimanga tecnicamente tracciabile.
Perché non analizza direttamente l'originale?+
Poiché i software di analisi, i sistemi operativi e i driver dei file system possono alterare i dati. L’analisi vera e propria viene quindi effettuata, di norma, su una copia forense verificata o su un insieme di dati opportunamente salvato.
Un risultato ottenuto tramite uno strumento di analisi può essere errato in tribunale?+
Un risultato automatico può essere errato o ambiguo. Per questo motivo distinguiamo tra i risultati forniti dallo strumento e i risultati convalidati dal punto di vista forense. Proprio i risultati rilevanti ai fini probatori vengono verificati rispetto ai dati di base.
È sempre possibile recuperare i dati o ripristinare completamente gli artefatti?+
No. La crittografia, la funzione TRIM degli SSD, la memoria sovrascritta, i file system danneggiati o le chiavi mancanti possono imporre dei limiti tecnici. Tali limiti sono documentati in modo trasparente.
Come spiega i risultati a chi non è esperto di tecnologia?+
Non ci limitiamo a descrivere i nomi dei file tecnici e i protocolli, ma spieghiamo anche cosa si intende per “artefatto”, come possa essersi formato e quali conclusioni sia effettivamente lecito trarne.

🔗 Argomenti correlati

LanCologne – Analisi forense di Linux a Colonia

Avete bisogno di un’analisi professionale sulla „Creazione di timeline per sistemi Linux (Super-Timeline)"? LanCologne vi supporta nel backup a prova di contestazione, nell’analisi a più livelli e nella documentazione tracciabile. L’aspetto fondamentale non è generare il maggior numero possibile di riscontri automatici, bensì acquisire prove tecnicamente attendibili e verificabili.

Contattaci subito