Molte domande in un'indagine digitale riguardano il tempo. Quando è stato aperto quel file? Il documento è stato modificato prima o dopo l'email? L'accesso sospetto è avvenuto mentre l'utente era in ufficio? La timeline forense è lo strumento che mette in ordine cronologico eventi provenienti da fonti diverse e permette di leggerli come una storia coerente.
Da dove arrivano date e orari
Un singolo computer contiene decine di fonti temporali. Ognuna registra eventi diversi e con precisione diversa.
| Fonte | Esempi di eventi |
|---|---|
| File system | Creazione, modifica, accesso, modifica dei metadati di un file |
| Registri di sistema | Accensioni, accessi, installazioni, errori |
| Browser | Pagine visitate, download, ricerche |
| Posta elettronica | Invio e ricezione dei messaggi |
| Documenti | Date interne di creazione e salvataggio |
| Applicazioni | Cronologie, file recenti, sincronizzazioni |
| Fonti esterne | Registri del router, dei servizi cloud, del badge d'ingresso |
Ciascuna di queste, presa da sola, offre una visione parziale. Messe insieme, rivelano sequenze che nessuna fonte singola mostra.
Il problema dei fusi orari
È il primo ostacolo e il più insidioso. Alcune fonti registrano gli orari in UTC, il tempo coordinato universale; altre nell'ora locale del dispositivo; altre ancora in un formato proprio. Un registro di server in UTC e un messaggio con l'ora italiana possono sembrare distanti un'ora o due, quando in realtà sono simultanei.
Va considerata anche l'ora legale: lo stesso orario locale corrisponde a valori UTC diversi in estate e in inverno. E se il dispositivo era impostato su un fuso diverso, per esempio un portatile usato durante un viaggio, gli orari locali possono ingannare.
La regola pratica è convertire tutto in un unico riferimento, di solito UTC, e indicare chiaramente nella relazione quale fuso si sta usando per la presentazione.
L'orologio del dispositivo
Un orario è affidabile quanto l'orologio che lo ha prodotto. Un computer con l'orologio indietro di dieci minuti registrerà tutti gli eventi con dieci minuti di scarto. Per questo, durante l'acquisizione, si annota l'ora indicata dal sistema confrontandola con una fonte affidabile, e si cercano nei registri eventuali modifiche manuali dell'orologio, che possono essere a loro volta un indizio.
Costruire la timeline
Timeline mirata
Si parte da una domanda precisa e da un intervallo limitato, per esempio le due ore attorno all'invio di un'email. Si raccolgono solo gli eventi rilevanti e li si ordina. È l'approccio più rapido e leggibile.
Super timeline
Strumenti specializzati estraggono automaticamente gli eventi da tutte le fonti disponibili su un disco e li fondono in un'unica sequenza. Il risultato può contenere milioni di righe. È potente per scoprire cose inattese, ma richiede filtri accurati per non perdersi nel rumore.
In pratica si usano spesso entrambe: la super timeline per individuare i momenti interessanti, la timeline mirata per spiegarli.
Leggere correttamente gli eventi
Una timeline va interpretata con prudenza. Alcuni esempi:
- un accesso a un file non significa che una persona lo abbia aperto: antivirus, indicizzazione e anteprime possono "toccare" i file automaticamente;
- eventi in rapidissima successione su molti file indicano spesso un'operazione automatica, come una copia di massa, una sincronizzazione o un'estrazione;
- l'assenza di eventi non prova che nulla sia successo: i registri possono essere disattivati, sovrascritti o mai esistiti;
- la coincidenza temporale non è causalità: due eventi vicini non sono necessariamente collegati.
Un esempio
Un'azienda sospetta che un file riservato sia stato copiato da un dipendente. La timeline mostra, in pochi minuti: l'accesso dell'utente al computer, il collegamento di un dispositivo USB, l'apertura della cartella che conteneva il file, una serie di accessi ravvicinati a numerosi file e infine la rimozione del dispositivo. Ogni evento, preso da solo, è innocuo. La sequenza racconta una storia molto più precisa, che va comunque verificata con altre fonti, per esempio la presenza fisica della persona in quel momento.
Presentare la timeline
Chi legge la relazione non deve districarsi tra migliaia di righe. Conviene:
- riportare in tabella solo gli eventi rilevanti, con data, ora, fonte e descrizione;
- indicare in modo esplicito il fuso orario usato;
- distinguere gli eventi certi da quelli dedotti;
- allegare l'estrazione completa per chi vuole verificare.
Un semplice grafico che mostri gli eventi lungo una linea del tempo aiuta molto la comprensione.
In sintesi
- La timeline ordina eventi provenienti da molte fonti per ricostruire una sequenza.
- Fusi orari, ora legale e orologi sbagliati vanno gestiti con un riferimento unico.
- Le timeline mirate rispondono a domande precise, le super timeline aiutano a scoprire.
- Un evento registrato non coincide sempre con un'azione umana.
- Nella relazione vanno indicati il fuso usato e la distinzione tra fatti e deduzioni.