Dalla fonte originale a una ricostruzione documentata.
Un'analisi forense deve proteggere l'integrità delle evidenze e rendere comprensibile il percorso seguito. L'attività viene pianificata in base al quesito, alle fonti disponibili, alla volatilità dei dati e ai vincoli legali o operativi comunicati dal cliente.
Fasi principali
- identificazione delle fonti e definizione del perimetro;
- acquisizione forense o raccolta documentata dei dati;
- hashing, inventario, conservazione e catena di custodia;
- analisi di file system, metadati, log, account e applicazioni;
- recupero di elementi cancellati quando tecnicamente possibile;
- correlazione temporale e costruzione della timeline;
- verifica incrociata tra fonti indipendenti;
- relazione tecnica con evidenze e limiti.
Possibili quesiti
L'analisi può riguardare accessi, esecuzione di programmi, copia di file, uso di dispositivi esterni, comunicazioni, attività amministrative o alterazioni. Le conclusioni vengono formulate solo quando supportate da evidenze sufficienti, evitando di attribuire automaticamente un'azione alla persona proprietaria di un account o dispositivo.
Output
Il cliente riceve documentazione delle operazioni, elenco dei reperti, timeline e relazione. Quando richiesto, i risultati vengono illustrati ai consulenti incaricati con un linguaggio comprensibile e con indicazione chiara del grado di certezza.