Ogni sistema connesso a una rete tiene un diario di ciò che accade: chi si è collegato, da dove, a che ora, cosa ha richiesto, con quale esito. Questi diari sono i log. In un'indagine digitale sono spesso l'unica fonte che documenta un evento dall'esterno, senza dipendere dal dispositivo dell'utente. Saperli conservare e leggere è una competenza centrale della network forensics.
Quali log esistono
| Fonte | Cosa registra | Esempio di utilità |
|---|---|---|
| Web server | Richieste di pagine, IP, orario, esito, browser dichiarato | Ricostruire un attacco a un sito |
| Firewall | Connessioni consentite e bloccate | Individuare traffico verso indirizzi sospetti |
| Router e Wi-Fi | Dispositivi connessi, indirizzi assegnati | Capire quale apparecchio era in rete |
| Server di posta | Invii, ricezioni, accessi alle caselle | Verificare la consegna di un messaggio |
| VPN e accesso remoto | Sessioni, utenti, durata | Accertare chi si è collegato dall'esterno |
| Servizi cloud | Accessi, modifiche, condivisioni | Capire chi ha scaricato un documento |
| DNS | Nomi di dominio richiesti | Individuare comunicazioni con server malevoli |
Il primo problema: la conservazione
I log hanno vita breve. Molti dispositivi conservano solo gli ultimi giorni o una quantità fissa di righe, poi sovrascrivono. Alcuni servizi online mantengono i registri di accesso per periodi limitati, che variano a seconda del piano sottoscritto. Router domestici e piccoli firewall spesso perdono tutto al riavvio.
Quando si sospetta un incidente, la priorità è esportare i log prima che spariscano. In un'organizzazione ben preparata, i log vengono inviati in tempo reale a un sistema centralizzato e protetto, dove non possono essere alterati da chi ha compromesso un singolo server.
Come si acquisiscono
- Esporta i file di log nel formato originale, non come stampa o schermata.
- Annota da quale sistema provengono, con quale account sono stati esportati e quando.
- Registra il fuso orario e l'eventuale scarto dell'orologio del sistema.
- Calcola l'hash di ciascun file esportato.
- Lavora su copie, conservando gli originali.
Per i servizi cloud, molte piattaforme offrono una funzione di esportazione dei registri di controllo dalla console di amministrazione. Va usata con l'account dell'amministratore e documentata come qualsiasi altra acquisizione.
Leggere un log
Una riga di log di un web server, per esempio, contiene di solito l'indirizzo IP del client, data e ora, il metodo e la risorsa richiesta, il codice di risposta, la dimensione e spesso il browser dichiarato. Presa da sola dice poco. Il valore emerge quando si osservano le sequenze:
- molte richieste ravvicinate a pagine di accesso con esito negativo indicano un tentativo di indovinare le password;
- richieste a percorsi inesistenti con nomi di file di configurazione suggeriscono una scansione automatica alla ricerca di vulnerabilità;
- un accesso riuscito seguito da richieste a pagine amministrative da un indirizzo mai visto prima merita approfondimento;
- trasferimenti di dimensioni insolite possono indicare un'esfiltrazione di dati.
Correlare fonti diverse
Il punto di forza dell'analisi dei log è la correlazione. Lo stesso evento lascia tracce in più sistemi: l'accesso alla VPN, l'indirizzo assegnato dal server, le connessioni registrate dal firewall, le richieste al file server. Allineando gli orari su un unico fuso, si ricostruisce il percorso dell'utente o dell'aggressore all'interno della rete.
Per correlare in modo affidabile servono orologi sincronizzati. Sistemi con orari diversi anche di pochi minuti rendono la ricostruzione incerta. Per questo la sincronizzazione automatica dell'orario su tutti i dispositivi è una misura semplice ma preziosa.
Il limite dell'indirizzo IP
L'indirizzo IP è spesso trattato come un'identità, ma non lo è. Alcune ragioni:
- condivisione: molti utenti di un operatore mobile o di una rete aziendale possono uscire su internet con lo stesso indirizzo pubblico;
- assegnazione dinamica: lo stesso indirizzo viene assegnato a utenti diversi in momenti diversi; per sapere chi lo usava serve l'orario esatto, compresi i secondi, e la porta quando l'indirizzo è condiviso;
- intermediari: VPN, proxy e reti di anonimizzazione mostrano l'indirizzo dell'intermediario, non dell'utente;
- localizzazione approssimativa: i servizi di geolocalizzazione degli IP indicano spesso solo il paese o la città del fornitore, a volte in modo errato.
Un IP indica quindi un punto di uscita sulla rete in un dato momento. Per risalire a un abbonato servono i dati del fornitore di connettività, ottenibili solo attraverso i canali previsti dalla legge.
Integrità dei log
Chi compromette un sistema può tentare di cancellare o alterare i log locali. Segnali tipici sono vuoti temporali, file di log azzerati, interruzioni del servizio di registrazione. Un registro inviato a un sistema esterno resta la fonte più affidabile proprio perché fuori dalla portata dell'aggressore.
In sintesi
- I log documentano gli eventi dall'esterno del dispositivo dell'utente.
- Hanno vita breve: vanno esportati subito nel formato originale e con hash.
- Il valore emerge dalle sequenze e dalla correlazione tra fonti diverse.
- Orologi sincronizzati sono indispensabili per una ricostruzione affidabile.
- Un indirizzo IP indica un punto di uscita, non una persona.