Gli strumenti commerciali di informatica forense sono potenti, ma costosi. Accanto a loro esiste un ecosistema open source maturo, usato da professionisti, ricercatori e forze di polizia in tutto il mondo. Il vantaggio non è solo economico: il codice aperto permette di verificare come uno strumento arriva a un risultato, un aspetto che in ambito probatorio ha un valore concreto. Questa panoramica presenta i progetti più noti, divisi per funzione, e qualche criterio per usarli con giudizio.
Perché il codice aperto conta in ambito forense
Quando un risultato viene contestato, può essere necessario spiegare come è stato ottenuto. Con uno strumento a codice chiuso ci si affida alla documentazione del produttore. Con uno open source, chiunque, compreso il consulente della controparte, può esaminare il codice, riprodurre l'analisi e verificare che il risultato non dipenda da un errore. Questa trasparenza rafforza la ripetibilità, uno dei principi cardine della disciplina.
Acquisizione
- dd e le sue varianti forensi, come dc3dd e dcfldd: strumenti a riga di comando per copie bit a bit, le varianti aggiungono il calcolo degli hash e la registrazione degli errori;
- Guymager: interfaccia grafica per Linux che acquisisce dischi in formato raw o E01 calcolando le impronte;
- ewf-tools della libreria libewf: per creare, verificare e leggere immagini in formato E01.
Molte distribuzioni Linux dedicate all'informatica forense includono questi strumenti già configurati per non montare automaticamente i dischi collegati.
Analisi di dischi e file system
- The Sleuth Kit: una raccolta di strumenti a riga di comando per esaminare partizioni, file system, file cancellati e metadati. È alla base di molti altri progetti;
- Autopsy: un'interfaccia grafica costruita su The Sleuth Kit, con moduli per ricerca per parole chiave, cronologia web, analisi di email, estrazione di metadati e timeline. È spesso il punto di partenza consigliato per chi inizia;
- PhotoRec: uno strumento di file carving che recupera file in base alle firme dei formati, utile quando il file system è danneggiato.
Analisi della memoria
- Volatility: il riferimento open source per l'analisi della RAM, con moduli per elencare processi, connessioni, librerie caricate e individuare codice iniettato. La versione più recente è scritta in Python 3 e ha una struttura diversa dalla precedente, con comandi e moduli in parte cambiati.
Timeline
- Plaso (log2timeline): estrae eventi temporali da centinaia di tipi di artefatti e li fonde in una super timeline;
- Timesketch: piattaforma collaborativa per esplorare, filtrare e annotare timeline anche molto grandi.
Artefatti di sistema
- RegRipper: estrae informazioni dagli hive del registro di Windows tramite plugin dedicati;
- gli strumenti di Eric Zimmerman: una serie di utilità gratuite per Windows specializzate in artefatti come Prefetch, file LNK, Jump List, ShellBags e registri eventi. Sono gratuite e molto diffuse, anche se non tutte nascono come progetti open source in senso stretto.
Rete
- Wireshark: analizzatore di traffico di rete che permette di ispezionare i pacchetti, ricostruire sessioni ed estrarre file trasferiti;
- Zeek: sistema di monitoraggio che trasforma il traffico in registri strutturati, utili per l'analisi a posteriori.
Una tabella di orientamento
| Esigenza | Strumento di partenza |
|---|---|
| Copiare un disco | Guymager o dc3dd |
| Esplorare un'immagine | Autopsy |
| Recuperare file senza file system | PhotoRec |
| Analizzare la RAM | Volatility |
| Costruire una timeline | Plaso |
| Esaminare il registro di Windows | RegRipper |
| Analizzare il traffico | Wireshark |
Come scegliere e validare
Uno strumento non è affidabile solo perché è diffuso. Alcune buone pratiche:
- annota sempre la versione usata: risultati e comportamenti possono cambiare tra versioni;
- verifica su dati di prova: crea un'immagine di test con contenuti noti e controlla che lo strumento li trovi correttamente;
- confronta con un secondo strumento i risultati decisivi;
- conosci i limiti: uno strumento può non supportare un file system recente o un formato di app aggiornato;
- non affidarti ai soli report automatici: l'interpretazione resta compito dell'analista.
Strumenti open source e commerciali insieme
Nella pratica professionale le due famiglie convivono. Alcuni ambiti, come l'estrazione da smartphone moderni, sono dominati da soluzioni commerciali. Altri, come l'analisi della memoria e delle timeline, hanno nell'open source i propri riferimenti. Usare più strumenti in parallelo è anche un modo per verificare a vicenda i risultati.
In sintesi
- L'open source offre strumenti maturi per acquisizione, analisi, memoria, timeline e rete.
- Il codice aperto favorisce verifica e ripetibilità dei risultati.
- Autopsy e The Sleuth Kit sono un buon punto di partenza per i dischi.
- Volatility e Plaso sono riferimenti per memoria e timeline.
- Ogni strumento va documentato con la versione e validato su dati di prova.