Un'analisi forense eccellente può perdere tutto il suo valore se la relazione che la descrive è confusa, incompleta o incomprensibile. La relazione è il prodotto finale del lavoro: è ciò che leggeranno il giudice, gli avvocati, la controparte, l'azienda. Deve permettere a un lettore non tecnico di capire cosa è emerso e a un tecnico di verificare ogni passaggio. Tenere insieme queste due esigenze è la vera sfida.
A chi è rivolta
Una relazione ha almeno due pubblici:
- chi decide, che ha bisogno di risposte chiare ai quesiti e di capire quanto sono solide;
- chi verifica, cioè altri tecnici, che devono poter ripetere le operazioni e controllare i risultati.
La soluzione è una struttura a livelli: un corpo leggibile, con le conclusioni in evidenza, e allegati tecnici dettagliati per chi vuole approfondire.
Una struttura collaudata
1. Premessa e incarico
Chi ha conferito l'incarico, quando, con quali quesiti. I quesiti vanno riportati alla lettera, perché tutta la relazione deve rispondere a quelli.
2. Sintesi delle conclusioni
Una pagina, all'inizio, con la risposta a ciascun quesito in poche righe. Molti lettori leggeranno solo questa parte: deve essere accurata e non più forte di quanto il resto della relazione giustifichi.
3. Materiale esaminato
Elenco dei reperti e delle fonti, con descrizione, identificativi, stato al ricevimento e catena di custodia. Per ogni copia, l'impronta hash.
4. Metodo
Come sono state svolte acquisizioni e analisi, con quali strumenti e in quali versioni. Non serve un manuale, ma abbastanza dettaglio perché un altro esperto possa ripetere il lavoro.
5. Analisi e risultati
Il cuore della relazione, organizzato per quesito. Per ciascuno:
- cosa si è cercato e dove;
- cosa è stato trovato, con riferimenti precisi agli allegati;
- come va interpretato.
6. Limiti
Cosa non è stato possibile verificare e perché: dati cifrati, supporti danneggiati, log non disponibili, tempo trascorso. È una sezione che molti omettono e che invece rafforza la relazione.
7. Conclusioni
Le risposte ai quesiti, motivate, con il grado di certezza di ciascuna.
8. Allegati
Estrazioni, tabelle complete, timeline, schermate, elenchi di file con hash, verbali.
Il linguaggio
- Frasi brevi e termini spiegati: la prima volta che compare un termine tecnico, una riga lo chiarisce. "Il file di Prefetch, cioè un file che Windows crea per avviare più velocemente un programma, indica che…".
- Fatti separati dalle interpretazioni: "Il registro mostra il collegamento di un dispositivo USB alle 10:42" è un fatto. "L'utente ha copiato i file sul dispositivo" è un'interpretazione, che va motivata.
- Gradi di certezza espliciti: espressioni come "è dimostrato", "è compatibile con", "non è possibile stabilire" vanno usate con coerenza.
- Niente aggettivi superflui: "un'evidente manipolazione" convince meno di una descrizione precisa di cosa è stato modificato.
- Orari con fuso: ogni orario con l'indicazione del fuso, oppure una nota iniziale che vale per tutto il documento.
Tabelle, immagini e timeline
Una tabella ben fatta vale più di molte pagine di testo. Per esempio:
| Data e ora (UTC+1) | Evento | Fonte | Allegato |
|---|---|---|---|
| 14/02 10:42 | Collegamento chiavetta USB, numero di serie indicato | Registro di sistema | A3 |
| 14/02 10:44 | Apertura cartella Clienti | ShellBags | A4 |
| 14/02 10:51 | Rimozione chiavetta | Registro eventi | A5 |
Schermate e fotografie aiutano, purché siano accompagnate da una didascalia che spieghi cosa mostrano e da dove vengono.
Errori da evitare
- Conclusioni più forti dei dati: è l'errore che la controparte sfrutterà per primo.
- Gergo non spiegato: chi decide non può valutare ciò che non capisce.
- Allegati non collegati al testo: ogni affermazione deve rimandare a un elemento verificabile.
- Omissione di risultati sfavorevoli: se emergono, vanno riportati; la loro scoperta da parte di altri distrugge la credibilità.
- Copia di testi standard: relazioni piene di paragrafi generici, uguali per ogni caso, si riconoscono subito.
Prima della consegna
Rileggi la relazione mettendoti nei panni di un tecnico della controparte che cerca punti deboli, e poi di un lettore senza competenze informatiche. Se il primo trova un'affermazione non supportata, correggila. Se il secondo non capisce una conclusione, riscrivila. Verifica infine che tutti gli hash riportati corrispondano ai file consegnati.
In sintesi
- La relazione deve essere leggibile da chi decide e verificabile da chi controlla.
- Una struttura chiara parte dai quesiti e mette la sintesi delle conclusioni in apertura.
- Fatti e interpretazioni vanno separati, con gradi di certezza espliciti.
- I limiti dell'analisi vanno dichiarati, i risultati sfavorevoli non vanno omessi.
- Ogni affermazione deve rimandare a un allegato verificabile.