Non tutti i dispositivi arrivano all'analisi così come sono stati usati. A volte qualcuno ha cercato di cancellare, nascondere o alterare le tracce. Le tecniche che servono a ostacolare un'analisi si chiamano anti-forensi. Questo articolo non spiega come usarle, ma come un analista le riconosce: perché quasi ogni tentativo di occultamento lascia a sua volta delle tracce, e talvolta queste tracce sono più eloquenti di ciò che si voleva nascondere.
Un principio di fondo
Ogni azione su un sistema produce effetti. Cancellare, sovrascrivere, modificare una data o svuotare un registro sono azioni come le altre: richiedono programmi, comandi, tempo, e lasciano segni nei punti che chi agisce non conosce o non può raggiungere. L'obiettivo dell'analista non è solo cercare ciò che manca, ma notare le anomalie che quella mancanza ha prodotto.
Le principali famiglie di tecniche e i loro segnali
Cancellazione sicura dei file
Programmi di cancellazione sicura sovrascrivono il contenuto dei file prima di eliminarli. Il contenuto è perso, ma restano spesso:
- tracce dell'esecuzione del programma negli artefatti di sistema;
- collegamenti a file recenti che puntano a file non più esistenti;
- voci nel file system con nomi casuali o ripetitivi, tipiche di alcuni strumenti;
- aree del disco riempite in modo uniforme, diverse dal normale rumore dei dati cancellati.
Alterazione delle date
Modificare le date di un file, il cosiddetto timestomping, serve a farlo sembrare più vecchio o più recente. Su alcuni file system, come NTFS, ogni file ha più serie di date memorizzate in strutture diverse, e gli strumenti comuni ne modificano solo alcune. Un'incoerenza tra queste serie, o date con una precisione insolitamente "rotonda", sono segnali tipici. Anche un file con data molto antica in una cartella creata di recente merita attenzione.
Cancellazione dei registri
Svuotare i registri eventi o i log di un server è un metodo diffuso per nascondere un accesso. Ma:
- su Windows, la cancellazione di un registro genera di norma un evento specifico;
- un registro che inizia improvvisamente in una data recente, su un sistema in uso da anni, è anomalo;
- vuoti temporali in registri normalmente continui indicano interruzioni;
- i log inviati a sistemi esterni restano intatti.
Reinstallazione o ripristino del sistema
Un computer formattato e reinstallato pochi giorni prima della consegna è di per sé un dato. La data di installazione del sistema operativo è registrata, e può essere confrontata con gli eventi della vicenda. Lo stesso vale per un telefono riportato alle impostazioni di fabbrica: i dati sul dispositivo spariscono, ma backup, account cloud e dispositivi collegati possono conservarne tracce.
Uso di sistemi o browser non persistenti
Sistemi operativi avviati da chiavetta e progettati per non lasciare tracce, o la navigazione in incognito, riducono le informazioni locali. Restano però indizi indiretti: il collegamento del dispositivo USB, le impostazioni del firmware per l'avvio da supporti esterni, i registri del router.
Occultamento di dati
Dati nascosti in file dall'aspetto innocuo, estensioni cambiate, contenitori cifrati. Segnali utili:
- file la cui estensione non corrisponde al contenuto reale, individuabili confrontando la firma del formato;
- file molto grandi con contenuto apparentemente casuale;
- immagini di dimensioni superiori a quanto ci si aspetterebbe per la loro risoluzione.
Una tabella di sintesi
| Tecnica | Cosa si perde | Cosa spesso resta |
|---|---|---|
| Cancellazione sicura | Contenuto dei file | Esecuzione del programma, collegamenti orfani |
| Alterazione delle date | Date affidabili su un file | Incoerenze tra serie di date |
| Svuotamento dei log | Eventi locali | Evento di cancellazione, log esterni |
| Reinstallazione | Dati locali | Data di installazione, cloud, backup |
| Occultamento | Visibilità immediata | Firme di formato incoerenti |
Come interpretare questi segnali
Riconoscere un'attività anti-forense non significa automaticamente dimostrare una colpa. Ci sono ragioni legittime per cancellare in modo sicuro un disco prima di venderlo, per reinstallare un sistema lento, per usare la cifratura. L'analista deve descrivere ciò che ha osservato, collocarlo nel tempo e confrontarlo con il contesto. Una cancellazione sicura eseguita la sera prima di consegnare un computer aziendale ha un peso diverso da una pulizia periodica configurata da anni.
Prevenzione nelle organizzazioni
Molte tecniche anti-forensi diventano inefficaci se i dati importanti esistono anche altrove. Log inviati in tempo reale a un sistema centrale, backup gestiti dall'IT, registri di controllo dei servizi cloud e policy che impediscono l'installazione di programmi non autorizzati rendono molto più difficile far sparire le tracce.
In sintesi
- Quasi ogni tentativo di occultamento lascia a sua volta delle tracce.
- Cancellazioni sicure, date alterate e log svuotati hanno segnali riconoscibili.
- Una reinstallazione recente è un dato da collocare nel tempo.
- Riconoscere un'attività anti-forense non equivale a dimostrare una colpa.
- Log centralizzati e backup indipendenti riducono l'efficacia di queste tecniche.