Acquisizione Forense e Analisi Device

L’acquisizione forense è il primo passaggio per preservare e rendere analizzabili i dati presenti su un dispositivo digitale.

WAYlog, attraverso il brand iProtector, esegue acquisizioni e analisi su computer, smartphone, server, memorie e altri dispositivi, documentando le operazioni e adottando tecniche adeguate alla fonte e all’obiettivo dell’incarico.

Le attività possono essere svolte nel Laboratorio Forense WAYlog oppure, quando necessario e tecnicamente possibile, presso il luogo in cui si trovano i sistemi.

Acquisizione, copia forense e analisi: cosa cambia

L’acquisizione forense è il processo controllato con cui vengono raccolti i dati da una fonte digitale. La copia forense è la copia prodotta attraverso tale processo e può comprendere anche aree non normalmente visibili all’utente, quando dispositivo e condizioni tecniche lo consentono.

L’analisi forense viene eseguita sulla copia o sui dati acquisiti per ricercare informazioni pertinenti al quesito: file, comunicazioni, metadati, cronologie, eventi di sistema, dati cancellati ancora recuperabili e relazioni temporali.

Cosa fare prima dell’intervento

Se un dispositivo può contenere evidenze utili, è prudente evitare operazioni che potrebbero modificarle:

non installare programmi di recupero o analisi sul dispositivo;
non cancellare file, messaggi, account o applicazioni;
non eseguire aggiornamenti, ripristini o inizializzazioni;
non effettuare tentativi ripetuti di accesso o sblocco;
annotare data, circostanze e persone che hanno avuto disponibilità del dispositivo;
contattare un tecnico forense prima di decidere se spegnere, isolare o trasportare il sistema.

La scelta corretta dipende dal tipo di dispositivo e dal suo stato: per questo non esiste una procedura universale valida in ogni situazione.

Dispositivi e fonti analizzabili

computer Windows, macOS e sistemi Linux;
smartphone, iPhone, tablet e SIM;
hard disk, SSD, memorie USB e schede di memoria;
server, NAS, sistemi virtuali e archivi aziendali;
sistemi di videosorveglianza NVR e DVR;
droni, dispositivi IoT e altre apparecchiature con capacità di memorizzazione;
caselle email, file, log e dati provenienti da servizi online, nel rispetto delle autorizzazioni disponibili.

Il processo operativo

Valutazione: definiamo quesito, fonti, urgenze, autorizzazioni e rischi di alterazione.
Identificazione: registriamo dispositivi, caratteristiche e stato iniziale.
Acquisizione: produciamo la copia o estraiamo i dati con strumenti e modalità adeguati alla sorgente.
Verifica: documentiamo integrità e tracciabilità, anche mediante valori di hash quando applicabili.
Analisi: ricerchiamo gli elementi pertinenti senza lavorare inutilmente sull’originale.
Relazione: descriviamo metodo, attività, limiti e risultati in forma chiara e verificabile.

Le procedure sono impostate coerentemente con i principi di identificazione, raccolta, acquisizione e preservazione richiamati dalla ISO/IEC 27037.

Analisi possibili

In funzione del quesito e della qualità dei dati acquisiti, l’attività può comprendere ricerca per parole chiave, verifica dei metadati, ricostruzione temporale degli eventi, analisi di accessi e trasferimenti, correlazione tra fonti, esame di file multimediali e recupero totale o parziale di dati cancellati ancora disponibili.

L’eventuale recuperabilità dei dati e l’accesso a dispositivi cifrati o protetti non possono essere garantiti prima della valutazione tecnica.

Attività per CTP, CTU e operazioni in contraddittorio

Le acquisizioni possono essere pianificate nell’ambito di incarichi di CTP, CTU o perizia informatica. Il Laboratorio Forense WAYlog può ospitare consulenti e soggetti autorizzati per operazioni in contraddittorio, con modalità condivise e documentazione delle fasi svolte.

Cosa viene consegnato

La consegna viene definita prima dell’intervento e può comprendere verbale delle operazioni, identificazione delle fonti, copie forensi, valori di hash, elenco dei materiali acquisiti, evidenze selezionate, cronologia delle attività e relazione tecnica.

Devi preservare o analizzare un dispositivo?

Evita interventi improvvisati: descrivici il caso senza inviare dati riservati e ti indicheremo le prime precauzioni da adottare.

Richiedi una valutazione riservata

Domande frequenti

Le risposte essenziali sull’acquisizione forense e sull’analisi dei dispositivi digitali.

Che cos’è un’acquisizione forense?

È il processo controllato con cui vengono raccolti i dati da una fonte digitale, documentando le operazioni e adottando strumenti e modalità adeguati al dispositivo e all’obiettivo dell’incarico.

Quali dispositivi possono essere sottoposti ad analisi forense?

Possono essere analizzati computer, smartphone e SIM, tablet, hard disk, SSD e memorie esterne, server e NAS, sistemi NVR e DVR, droni, dispositivi IoT e altre fonti digitali, secondo condizioni tecniche e autorizzazioni disponibili.

L’acquisizione può essere effettuata presso il cliente?

Sì. Quando il caso e le condizioni tecniche lo consentono, i tecnici possono operare presso il luogo in cui si trova il dispositivo oppure nel Laboratorio Forense WAYlog.

È possibile ricercare dati cancellati o specifiche informazioni?

L’analisi può comprendere ricerca per parole chiave, metadati, ricostruzione temporale e recupero totale o parziale dei dati ancora disponibili. Il risultato dipende da dispositivo, sovrascrittura, cifratura e stato della fonte.

Che cosa viene consegnato al termine dell’analisi?

La consegna viene concordata e può comprendere verbale, identificazione delle fonti, copie forensi, valori di hash, elenco dei materiali acquisiti, evidenze selezionate, cronologia delle attività e relazione tecnica.