Diapositiva 1 - Stefania Stefanelli
annuncio pubblicitario
Ministero dell’Interno Polizia Postale e delle Comunicazioni Compartimento Polizia Postale e delle Comunicazioni per l’Umbria Facoltà di Giurisprudenza Perugia,26 marzo 2012 Ministero dell’Interno Polizia Postale e delle Comunicazioni L'evoluzione tecnologica ha reso indispensabile l'uso di Internet quale mezzo di scambio di informazioni, di accesso alle grandi banche dati, di esecuzione di transazioni e disposizioni finanziarie, di ideazione e creazione di nuove attività professionali. La rapida diffusione dell'uso di Internet ha ben presto messo in evidenza i punti di debolezza della Rete stessa, in particolar modo con riferimento alla sicurezza informatica. E' in questo scenario che nasce, con legge riforma dell'Amministrazione della Pubblica Sicurezza, la Polizia Postale e delle Comunicazioni, quale "specialità" della Polizia di Stato all'avanguardia nell'azione di prevenzione e contrasto della criminalità informatica e a garanzia dei valori costituzionali della segretezza della corrispondenza e della libertà di ogni forma di comunicazione. Ministero dell’Interno Polizia Postale e delle Comunicazioni Il principale sforzo operativo della Polizia Postale e delle Comunicazioni è nella direzione del continuo adeguamento della propria risposta alle nuove frontiere tecnologiche della delinquenza. La Polizia delle Comunicazioni è presente su tutto il territorio nazionale attraverso i 20 compartimenti,con competenza regionale, e le 80 sezioni con competenza provinciale, coordinati a livello centrale dal Servizio Polizia delle Comunicazioni. Ministero dell’Interno Polizia Postale e delle Comunicazioni Aree d'intervento Pedofilia on-line Protezione infrastrutture critiche Cyberterrorismo Copyright E-Commerce Hacking Collaborazione operativa con Forze di Polizia straniere Computer forensics Ministero dell’Interno Polizia Postale e delle Comunicazioni Computer Crime L’eccezionale e inarrestabile sviluppo, evoluzione ed espansione delle reti telematiche, in particolare della rete Internet, e la capillare diffusione delle apparecchiature informatiche ed elettroniche hanno comportato innegabilmente un aumento sia dei crimini informatici tuttavia il fenomeno appare sottovalutato poiché: la vittima non ha la cognizione dell’origine dell’evento lesivo né la consapevolezza dell’esistenza dell’evento stesso; il timore o preoccupazione di una pubblicità negativa, della perdita di prestigio, della reputazione o della credibilità. Ministero dell’Interno Polizia Postale e delle Comunicazioni Attività investigative condotte dalla Polizia Giudiziaria quando sono rivolte all’individuazione dell’autore di crimini informatici,cioè quei crimini contemplati e introdotti nel Codice Penale dalla legge 547/93 (in questo caso ci troviamo in presenza di reati informatici in senso stretto) quando i reati che si perseguono, pur essendo diversi da quelli sopra definiti “crimini informatici” in senso stretto, sono stati perpetrati a mezzo di sistemi informatici e/o telematici quando si utilizzano tecnologie informatiche telematiche nello svolgimento delle investigazioni. e/o Ministero dell’Interno Polizia Postale e delle Comunicazioni L’evidenza informatica Il dato informatico o evidenza informatica, è costituita da una serie di “bits” (ove, con il termine “singolo bit” - acronimo di binary unit, e cioè cifra che può assumere il valore zero o il valore uno - è indicata la componente elementare, che riduce a identità strutturale un testo, un suono, un'immagine o un filmato) risultanti ordinariamente dalla magnetizzazione o smagnetizzazione della superficie di un supporto (e comunque dalla variazione dello stato fisico della materia), e come tale può essere considerata immateriale. È proprio l’immaterialità del dato informatico, bene oggetto di tutela da parte dalla legge, che sta alla base delle difficoltà di applicazione di taluni strumenti processuali. Ministero dell’Interno Polizia Postale e delle Comunicazioni Mezzi di ricerca della prova perquisizione sequestro ispezione acquisizione intercettazione di comunicazioni informatiche o telematiche Ministero dell’Interno Polizia Postale e delle Comunicazioni Perquisizione È il mezzo di ricerca della prova preordinato al sequestro della stessa; la ricerca può essere omessa, se l’interessato ottempera all’invito di consegna. Consiste nell’attività diretta alla ricerca del corpo del reato e in genere delle cose pertinenti al reato, quelle cioè sulle quali o a mezzo delle quali fu commesso il reato, e quelle che ne costituiscono il profitto, il prezzo o il prodotto o un mezzo di prova. Recentemente è stata introdotta la cosiddetta perquisizione informatica art. 247 comma 1 bis c.p.p. , anche per l’eventuale arresto per pedo-pornografia. Ministero dell’Interno Polizia Postale e delle Comunicazioni Sequestro Il sequestro consiste nell’imposizione di un vincolo di indisponibilità sulle cose che ne sono oggetto o nel loro spossessamento. Il sequestro probatorio (artt.253- 265 c.p.p.), tende ad assicurare e assoggettare a custodia le fonti di prova. Ministero dell’Interno Polizia Postale e delle Comunicazioni Ispezione L’ispezione costituisce un mezzo di ricerca delle prove che ha per oggetto persone, luoghi o cose e viene disposta, con decreto motivato dal pubblico ministero, allo scopo di accertare (osservare, constatare e rilevare) le “tracce e gli altri effetti materiali del reato”. Ministero dell’Interno Polizia Postale e delle Comunicazioni Acquisizione Analogamente a quanto previsto per il sequestro, si ritiene che, ai sensi degli artt. 234 e segg. c.p.p., si possa procedere ad acquisizione anche dell’evidenza informatica, equiparata pertanto ai documenti di cui al titolo II, capo VII del codice di procedura penale, relativo ai mezzi di prova. Ministero dell’Interno Polizia Postale e delle Comunicazioni Intercettazione Un ulteriore mezzo di ricerca della prova sono le intercettazioni informatiche o telematiche regolate dagli artt. 266 bis e segg. c.p.p Ministero dell’Interno Polizia Postale e delle Comunicazioni Modalità di intervento descrizione particolareggiata del tipo di operazioni illecite accertate o presunte; assunzione di informazioni dettagliate dei luoghi da controllare; descrizione del sistema oggetto di indagine (hardware, software, applicazioni, sistemi di memorizzazione di dati); descrizione della tipologia e topologia dell’eventuale rete e di ogni altro mezzo e linea di comunicazione disponibile (LAN, WAN, ISP, fax, modem, telefono); individuazione dell’eventuale amministratore di sistema e/o della rete e delle figure professionali che lavorano nel settore tecnico, (nello specifico se appartengono all’organizzazione oppure se fanno parte di strutture esterne); individuazione delle persone che possono essere informate dei fatti. Ministero dell’Interno Polizia Postale e delle Comunicazioni Attività tecnica di assunzione della prova informatica Acquisizione Analisi Presentazione Ministero dell’Interno Polizia Postale e delle Comunicazioni Acquisizione dell’evidenza informatica Operazione propedeutica all’acquisizione delle evidenze informatiche è altresì la constatazione e la verifica delle connessioni del sistema in esame e dei dispositivi collegati. In fase di acquisizione è necessario «sigillare» in maniera informatica o semplicemente fisica i supporti da sottoporre ad analisi. Nel caso si proceda al sequestro dei soli Hard Disk è necessario effettuare la verifica della data ed orario di sistema dal bios. Ministero dell’Interno Polizia Postale e delle Comunicazioni Duplicazione dei supporti di memorizzazione L’operazione di duplicazione deve essere realizzata con l’impiego di programmi che consentono la riproduzione esatta e l’inalterabilità del contenuto dei supporti originali, con contestuale verifica dell’integrità e autenticità del contenuto stesso. Hardware LOGICUBE® modello Forensic DOSSIER ® Software Distribuzioni live (Software) Hardware e/o Software Encase AccessData FTK Ministero dell’Interno Polizia Postale e delle Comunicazioni Acquisizione dei dati volatili L’operazione di raccolta dei dati volatili, che spesso costituiscono importante elemento probatorio, non è facilmente standardizzabile in ragione delle numerose variabili da valutare e del consistente numero di strumenti utilizzabili. È opportuno sempre tenere in debita considerazione che lo spegnimento del sistema o un blocco dello stesso (crash) causerebbe la definitiva perdita dei dati volatili, residenti generalmente in porzioni di memoria non permanente. Ministero dell’Interno Polizia Postale e delle Comunicazioni Indagini e attività di Polizia Giudiziaria sui sistemi informatici modalità operative In relazione al fatto che il sistema sia o meno in funzione all’atto dell’ intervento, andrà calibrata sia la metodica di acquisizione delle prove, che l’analisi dei dati, che potranno essere effettuate direttamente sul posto o successivamente in laboratorio. Ministero dell’Interno Polizia Postale e delle Comunicazioni Sistema non in funzione Se il sistema non è in funzione e non è possibile eseguire l’analisi dei dati sul posto (per insufficienza di apparecchiature, per inadeguatezza dei luoghi, ecc.), sarà opportuno effettuarla presso laboratori opportunamente attrezzati e controllati, procedendo all’avvio e analisi del sistema. E’ però sempre importante considerare che, quando si procede nell’ambito di attività di polizia giudiziaria, la tempestività nell’acquisire le notizie sui fatti oggetto di indagine, è spesso determinante per il buon esito delle investigazioni Ministero dell’Interno Polizia Postale e delle Comunicazioni Sistema non in funzione con analisi sul posto Se il sistema non è in funzione, ma è possibile dare immediato corso all’analisi ripetibile ed alla eventuale acquisizione dei dati, per esigenze investigative o per procedere con ispezione, dopo aver verificato, come detto, lo stato delle connessioni e delle varie apparecchiature, si procederà ad accendere il sistema, evitando che l’operazione modifichi i dati già presenti Dopo aver disconnesso i supporti da analizzare, si procede avviando il sistema ed accedendo al BIOS. Dopo aver preso nota della data ed ora Per procedere all’analisi immediata, al fine di motivare il sequestro, per conseguire elementi utili al prosieguo delle indagini o semplicemente perché si procede ad ispezione, si potranno utilizzare le seguenti tecniche: Avviare la macchina da esaminare con un “live cd” Utilizzare EnCase(o software analoghi) in modalità protetta Ministero dell’Interno Polizia Postale e delle Comunicazioni Sistema in funzione con possibilità di spegnimento Nel caso in cui il sistema informatico in funzione possa essere disattivato e sequestrato, per effettuare un’analisi successiva, si procederà inizialmente alla raccolta dei dati volatili, in quanto operazione non ripetibile dopo lo spegnimento del sistema. Lo spegnimento adeguato di un sistema è una delle operazioni più delicate da intraprendere, dal momento che azioni non opportune potrebbero compromettere l’integrità dei dati in esso contenuti. Ministero dell’Interno Polizia Postale e delle Comunicazioni Sistema in funzione con impossibilità di spegnimento Nel caso in cui non sia possibile spegnere il sistema, in conseguenza per lo più della gravità del danno che ne deriverebbe (si pensi a sistemi informatici che gestiscono infrastrutture critiche o cicli produttivi di grandi aziende), le attività di analisi immediata non potranno avere il carattere della assoluta ripetibilità. In tal caso, si potrà solo procedere come ispezione urgente, ex artt. 364, 5° e 6° comma c.p.p. Tali operazioni andranno descritte nel relativo verbale, al quale si dovranno anche allegare i supporti informatici, sui quali saranno state memorizzate le informazioni rilevate ed i file acquisiti. Presupposti fondamentali degli accertamenti urgenti art. 354 c.p.p sono: •la possibilità di alterazione, modificazione o distruzione dell’oggetto dell’indagine; •l’impossibilità di intervento tempestivo da parte del pubblico ministero. Ministero dell’Interno Polizia Postale e delle Comunicazioni Analisi dell’evidenza informatica L’analisi dell’evidenza informatica si concretizza nell’estrarre, processare e interpretare ogni tipo di dato. che possa costituire un indizio per la prosecuzione delle indagini o sia fonte di prova ovvero possa essere rilevante ai fini delle investigazioni difensive. In via generale è possibile indicare alcuni metodi e tecniche diretti a conseguire lo scopo che ci si prefigge con l’attività di analisi. In relazione alla fattispecie concreta, di volta in volta, si dovranno utilizzare metodi di analisi non rigidamente legati alla seguente elencazione ma ad un principio di logica sussidiarietà Ministero dell’Interno Polizia Postale e delle Comunicazioni Verifica della data e dell’ora del sistema oggetto di analisi (dal BIOS) A tal proposito si tenga in debita considerazione che i riferimenti temporali dei file e delle cartelle, contenute nel sistema oggetto di analisi, siano rigidamente correlati alla data e all'ora riscontrate nel BIOS. Infatti, modificare le impostazioni di data ed ora del BIOS, è un operazione molto semplice, che può essere effettuata in qualsiasi momento e senza lasciare tracce. Ministero dell’Interno Polizia Postale e delle Comunicazioni La “timeline” riportano in modo dettagliato date e orari di ultima modifica, accesso e cambiamento dello status o creazione di file e cartelle, che potrebbero essere rilevanti. Ministero dell’Interno Polizia Postale e delle Comunicazioni Il “registro di sistema” (configurazione del sistema operativo Windows) Analisi degli utenti accreditati Ultimo spegnimento del sistema Ministero dell’Interno Polizia Postale e delle Comunicazioni Crittografia/ Steganografia File system crittografati File crittografati La crittografia dei file consente di impedire ad altri utenti l'accesso a dati particolarmente riservati. È possibile proteggere i file desiderati con una password in modo da potervi accedere in maniera esclusiva File steganografati steganografia a differenza di un algoritmo crittografico deve tenere conto della forma plausibile che i dati generati devono avere, affinché non destino sospetti. Steganografia LSB/rumore di fondo è la tipologia di steganografia più diffusa. Si basa sulla teoria secondo la quale l'aspetto di un'immagine digitale non cambia se i colori vengono modificati in modo impercettibile. Ogni pixel è rappresentato da un colore differente, cambiando il bit meno significativo di ogni pixel, il singolo colore non risulterà variato in modo significativo e il contenuto dell'immagine sarà preservato nonostante questa manipolazione. Ministero dell’Interno Polizia Postale e delle Comunicazioni Sistemi operativi e dei programmi applicativi individuare i file propri dei sistemi operativi e dei programmi applicativi in modo da selezionare, per differenza, i file degni di analisi, a mezzo di tecniche cosiddette di “hashing”, che confrontano i dati in esame con quelli, sicuramente autentici, presenti su un proprio archivio, evidenziando di converso quelli di cui è dubbia la legittimità; Forensic Tool Kit della AccessData – visualizzazione della schermata utilizzata per il confronto degli hash dei file presenti nel sistema in analisi con il proprio archivio di hash noti. Ministero dell’Interno Polizia Postale e delle Comunicazioni Individuare i file camuffati ad esempio è possibile rinominare un file contenente materiale illecito con un nome simile ad un file di sistema e posizionarlo, appunto, tra i file di sistema: C:\account_rubati.zip > C:\WinNT\system32\video32.dll le soluzioni più idonee per individuare tali camuffamenti sono l’utilizzo delle tecniche di hashing, oppure l’utilizzo del comando “file“ presente nei sistemi unix-like, il quale è in grado di riconoscere la maggiore parte dei file esistenti mediante l’analisi del loro header; Ministero dell’Interno Polizia Postale e delle Comunicazioni Ricercare e controllare ogni tipo di file immagine, video, audio, documenti, file compressi e l’estrazione della posta elettronica Ricerca dei files anche mediante l’utilizzo di script Ricerca dei files in base all’header degli stessi Ministero dell’Interno Polizia Postale e delle Comunicazioni Verificare la presenza di ADS C’è la concreta possibilità di utilizzare gli ADS (Alternate Data Stream) del file system NTFS per nascondere informazioni, dati o file, in modo assolutamente trasparente, per essere utilizzati in seguito. Alcuni strumenti per la verifica dell’esistenza degli ADS sono: crucialADS, lads Ministero dell’Interno Polizia Postale e delle Comunicazioni Estrapolare i file protetti da password in caso di mancata collaborazione da parte dell’indagato si tenterà di individuarle, utilizzando apposito software o hardware dove possibile (nel caso in cui la codifica sia stata effettuata tramite RSA, questa soluzione non si mostra alquanto applicabile) Ministero dell’Interno Polizia Postale e delle Comunicazioni Individuare programmi installati tra cui quelli di “file sharing” (che consentono la condivisione di dati in rete) e di “chat” (permettono a più utenti di comunicare in tempo reale sulla rete), verificando l’eventuale condivisione di cartelle attraverso i file di configurazione dei programmi stessi; Molto importante l’analisi della configurazione dei programmi per “file sharing” al fine di delineare la forma criminosa in relazione alla detenzione o diffusione di materiale pedopornografico Ministero dell’Interno Polizia Postale e delle Comunicazioni Individuare programmi o attività di backdoors e rootkit Backdoor, programmi finalizzati al controllo remoto di personal computers di persone ignare, in modo tale da far ricadere su altri la colpa di comportamenti illeciti Rootkit, programmi in grado di falsare le informazioni dei dati volatili contenuti in un sistema. Ministero dell’Interno Polizia Postale e delle Comunicazioni controllo delle cartelle Preferiti” e spool di stampa controllo delle cartelle “Preferiti” e dei relativi “links collegamenti”, “Dati Recenti”,“Cestino” e spool di stampa dei Sistemi Operativi. Ministero dell’Interno Polizia Postale e delle Comunicazioni controllo e verifica dei browser (attività web) Cache dei browser per esempio index.dat, cioè dei file temporanei di navigazione in Internet, presenti nei Sistemi Operativi, anche sotto nomi diversi (ricostruzione della cache del browser); Cookies analisi dei file “cookies”, che indicano tracce della navigazione sulle reti, in relazione a particolari siti filtraggio delle URL dei siti web visitati in base alla data, ora, titolo, contenuto Ministero dell’Interno Polizia Postale e delle Comunicazioni webmail / remote virtual disk/ configurazione di rete individuazione di attività di WEBMAIL o REMOTE VIRTUAL DISK (posta elettronica via web, dischi virtuali residenti in remoto), in quanto elementi utili per le indagini potrebbero risiedere su dischi remoti. verifica della configurazione di rete (Wi-fi/Eternet) Ministero dell’Interno Polizia Postale e delle Comunicazioni verifica dei file di “log” (registrazione di eventi e attività) generati dai programmi installati e dal Sistema Operativo interpretazione e rielaborazione dei file di log in modo da catalogare gli eventi in modo cronologico ricerca di correlazioni, in base alla data-ora, IP, utente, ecc., degli eventi risultanti dall’analisi dei file di log Contenuto della cartella /var/log, dove comunemente vengono registrati i file di log in un sistema Linux. Ministero dell’Interno Polizia Postale e delle Comunicazioni spazio non allocato L’elenco delle operazioni enunciate, che non è da ritenersi esaustivo, è comunque relativo ai dati che risultano in chiaro, ovvero che non sono stati cancellati e che quindi hanno un’allocazione ben definita all’interno del “file system” Per completezza di analisi devono essere effettuate anche ricerche su quella parte di dati, comunemente detto spazio non allocato, eliminati dall’utente o dal Sistema Operativo, che pur se non visibili, sono fisicamente presenti sui supporti magnetici in esame Visualizzazione con autopsy dei file cancellati in un supporto di memorizzazione Ministero dell’Interno Polizia Postale e delle Comunicazioni Ripristino del sistema Delle volte potrebbe essere conveniente, per eseguire un’analisi rigorosa e completa, ricreare lo stesso ambiente in cui si trovava il sistema oggetto di analisi, ripristinando cioè, dalla copia acquisita, il contenuto originale del supporto da analizzare su un altro disco rigido. In tal modo, quest’ultimo potrà essere collegato al sistema originale, oppure ad un ambiente simulato , per essere avviato in modo corretto al fine di verificare l’originaria finalità del software installato, ed eventualmente, di visualizzare i file creati con software proprietario, altrimenti non visionabili. Ministero dell’Interno Polizia Postale e delle Comunicazioni Presentazione del risultato Ultima in ordine di esposizione, ma non per questo meno importante delle altre, è la fase di presentazione dei risultati della ricerca. La presentazione deve essere tesa all’illustrazione dell’accertamento di determinati atti o fatti ed essere esposta in modo tale da essere pienamente comprensibile, anche da persone con scarse conoscenze informatiche. È necessario limitarsi a inserire nella relazione conclusiva solo gli elementi utili per l’investigazione. Ministero dell’Interno Polizia Postale e delle Comunicazioni Presentazione del risultato Ultima in ordine di esposizione, ma non per questo meno importante delle altre, è la fase di presentazione dei risultati della ricerca. La presentazione deve essere tesa all’illustrazione dell’accertamento di determinati atti o fatti ed essere esposta in modo tale da essere pienamente comprensibile, anche da persone con scarse conoscenze informatiche. È necessario limitarsi a inserire nella relazione conclusiva solo gli elementi utili per l’investigazione. Ministero dell’Interno Polizia Postale e delle Comunicazioni In modo sintetico, la relazione di presentazione dei risultati di ricerca sull’evidenza informatica dovrebbe contenere: il nominativo dell’operatore che ha eseguito l’analisi la data e l’ora di inizio e di temine dell’operazione di acquisizione dell’evidenza informatica. i dati dei supporti su cui la copia dell’evidenza informatica è stata riversata. il codice di validità (checksum o message digest, sia esso riferito all’algoritmo MD5 o SHA1) dell’evidenza informatica e delle copie speculari. la descrizione delle caratteristiche del sistema posto sotto analisi (hardware e software). Ministero dell’Interno Polizia Postale e delle Comunicazioni In modo sintetico, la relazione di presentazione dei risultati di ricerca sull’evidenza informatica dovrebbe contenere: la descrizione di tutte le operazioni effettuate sul supporto originale, che costituisce l’evidenza informatica. la descrizione delle operazioni di analisi e ricerca effettuate sulla copia dell’evidenza. l’elencazione e la descrizione delle caratteristiche dei programmi eventualmente utilizzati, con particolare riferimento a quelli impiegati per ricercare informazioni in zone non allocate del “file system”. la collocazione esatta (percorso logico o path) informazioni utili per le indagini (siano essi testi, immagini, video, suoni o programmi). Ministero dell’Interno Polizia Postale e delle Comunicazioni In modo sintetico, la relazione di presentazione dei risultati di ricerca sull’evidenza informatica dovrebbe contenere: la stampa, in caso sia possibile e necessario, dei dati rinvenuti. la registrazione possibilmente su supporto non alterabile, dei dati di interesse- Ministero dell’Interno Polizia Postale e delle Comunicazioni “Non c'è alcun ramo delle scienze investigative così poco praticato, eppure tanto importante, qual è l'arte d'interpretare le orme.” (Sherlock Holmes) “È un errore enorme teorizzare a vuoto. Senza accorgersene, si comincia a deformare i fatti per adattarli alle teorie, anziché il viceversa.” (Conan Doyle) Ministero dell’Interno Polizia Postale e delle Comunicazioni Strumentazioni Ministero dell’Interno Polizia Postale e delle Comunicazioni Software
