Digital forensics: cos'è l'informatica forense e cosa si fa

La risposta breve: la digital forensics, in italiano informatica forense, è la disciplina che identifica, raccoglie, esamina e analizza dati digitali preservandone l'integrità e documentando ogni passaggio, così che i risultati reggano davanti a un giudice, a un'autorità o a un audit. In azienda serve soprattutto dopo un incidente: per capire cosa è successo, da dove è entrato l'attaccante e cosa ha toccato.

Di seguito: quando serve, cosa si fa nelle prime ore di un attacco, come funziona la catena di custodia e chi fa questo lavoro.

Cos'è la digital forensics

Il NIST, nella SP 800-86 (Guide to Integrating Forensic Techniques into Incident Response, 2006), la descrive come l'applicazione della scienza a identificazione, raccolta, esame e analisi dei dati, con due condizioni: preservare l'integrità delle informazioni e mantenere una catena di custodia rigorosa.

La differenza con una normale analisi tecnica sta nel metodo: il sistemista cerca il problema e lo risolve, l'analista forense lo cerca in modo che un terzo, mesi dopo, possa verificare che i dati esaminati sono quelli trovati sul sistema.

A seconda della fonte dei dati si parla di ambiti diversi, che in un'indagine reale si sommano:

• Computer forensics: dischi, file system, sistemi operativi, applicazioni installate.
• Memory forensics: il contenuto della RAM, dove vivono processi in esecuzione, connessioni aperte e malware che non scrivono su disco.
• Network forensics: traffico di rete, log di firewall, proxy e DNS.
• Mobile forensics: smartphone e tablet aziendali.
• Cloud forensics: log e configurazioni dei servizi cloud, dove spesso non c'è un disco fisico da copiare.

Digital forensics e incident response: perché si dice DFIR

Nel lavoro quotidiano informatica forense e risposta agli incidenti viaggiano insieme, tanto che si usa la sigla DFIR (Digital Forensics and Incident Response). Hanno però obiettivi che a volte tirano in direzioni opposte:

• L'incident response vuole contenere l'attacco e ripristinare i servizi il prima possibile.
• La forensics vuole che, prima di toccare i sistemi, le tracce siano raccolte e conservate.

Reinstallare subito un server cifrato da un ransomware rimette in piedi la produzione, ma cancella le prove di come l'attaccante è entrato. E senza quella risposta si rischia di ripristinare un sistema con la stessa porta ancora aperta. L'equilibrio si decide prima, nel piano di risposta agli incidenti: quali sistemi si copiano prima del ripristino, e chi lo decide.

Quando serve in azienda

Le situazioni tipiche, per un'azienda del mid-market, sono quattro.

Dopo un attacco informatico

Ransomware, accesso abusivo, caselle email compromesse. Qui la domanda è tecnica e spesso anche normativa. Per i soggetti NIS2 l'articolo 25, comma 5, del D.Lgs. 138/2024 chiede al CSIRT Italia, entro 72 ore dalla conoscenza di un incidente significativo, una notifica con una valutazione iniziale e, ove disponibili, gli indicatori di compromissione; e poi una relazione finale entro un mese dalla notifica, che deve comprendere il tipo di minaccia o la causa originale (root cause) che ha probabilmente innescato l'incidente. Indicatori e causa originale sono ciò che un'analisi forense produce. Tempi e canali sono spiegati nell'articolo sulla notifica degli incidenti NIS2.

Dopo una violazione di dati personali

L'articolo 33 del GDPR (Regolamento UE 2016/679) chiede al titolare di notificare la violazione al Garante entro 72 ore, ove possibile, salvo che sia improbabile un rischio per i diritti e le libertà delle persone, e di descriverne la natura, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte, le probabili conseguenze e le misure adottate. Il paragrafo 5 aggiunge che il titolare documenta qualsiasi violazione, con le circostanze, le conseguenze e i provvedimenti presi. Sapere quali dati sono usciti, e quali no, è una domanda forense: senza log e copie affidabili la risposta resta una stima.

Frodi interne e contenziosi

Un dipendente che porta via dati prima di dimettersi, un fornitore che contesta un accesso, una mail di cui si discute l'autenticità. La prima regola è non far frugare il PC o la casella a chi li usa ogni giorno: ogni accesso senza metodo altera date e metadati, e indebolisce la prova che si voleva usare.

Quando c'è un possibile reato

Se si sospetta che l'incidente abbia carattere criminale, il comma 8 dello stesso articolo 25 prevede che il CSIRT Italia dia anche orientamenti sulla segnalazione all'autorità di contrasto, l'organo centrale del Ministero dell'interno per la sicurezza e la regolarità dei servizi di telecomunicazione. Da lì le tracce raccolte dall'azienda possono finire in un procedimento penale, e il modo in cui sono state raccolte diventa decisivo.

Cosa si fa durante un incidente: le quattro fasi

La SP 800-86 del NIST organizza il processo forense in quattro fasi: raccolta, esame, analisi e report.

1. Raccolta: si identificano le fonti di dati rilevanti e si acquisiscono preservandone l'integrità. Il NIST raccomanda di partire da un piano che dia priorità alle fonti in base al valore probabile, alla volatilità e allo sforzo necessario.
2. Esame: con strumenti e tecniche adatti al tipo di dato, si identificano ed estraggono le informazioni pertinenti, sempre preservandone l'integrità.
3. Analisi: si ricostruisce la sequenza degli eventi, correlando fonti diverse (disco, memoria, log, traffico) per rispondere alle domande che hanno fatto partire l'indagine.
4. Report: si descrivono le azioni svolte e i risultati, si indicano le azioni ancora da fare e le correzioni a procedure e strumenti.

Le prime ore: cosa fare e cosa evitare

Le prove si perdono soprattutto all'inizio, quando la pressione è ripristinare. La RFC 3227 dell'IETF (Guidelines for Evidence Collection and Archiving, 2002) raccoglie indicazioni che restano valide:

• Non spegnere i sistemi prima di aver raccolto le evidenze: molte tracce vivono solo in memoria, e un attaccante può aver modificato gli script di arresto per cancellarle.
• Procedere dal più volatile al meno volatile. L'ordine di esempio della RFC: prima registri e cache, poi tabelle di routing, cache ARP, processi e memoria, poi file system temporanei, poi disco, log remoti, configurazione fisica e topologia di rete, infine i supporti di archivio.
• Non fidarsi dei programmi presenti sul sistema compromesso: gli strumenti di raccolta si avviano da supporti controllati.
• Attenzione allo scollegamento dalla rete: staccare o filtrare una macchina può attivare meccanismi che se ne accorgono e cancellano le tracce. L'isolamento resta spesso necessario, ma va deciso sapendolo.

La copia forense e l'hash

L'analisi non si fa sull'originale. Si crea una copia bit per bit del supporto (immagine forense), usando quando possibile un write-blocker, lo strumento hardware o software che impedisce di scrivere sul disco collegato. Poi si calcola l'impronta crittografica (hash) dell'originale e della copia e si confrontano: la SP 800-86 spiega che cambiare anche un solo bit dei dati produce un'impronta completamente diversa. Se le impronte coincidono, la copia è identica all'originale.

La catena di custodia

La catena di custodia è la documentazione che permette di dimostrare che una prova è rimasta integra dal momento in cui è stata trovata a quello in cui viene presentata. Secondo la RFC 3227 deve dire almeno:

• dove, quando e da chi l'evidenza è stata scoperta e raccolta;
• dove, quando e da chi è stata maneggiata o esaminata;
• chi l'ha avuta in custodia, per quanto tempo e come è stata conservata;
• quando è passata di mano, e come è avvenuto il trasferimento.

In pratica è un registro che accompagna ogni reperto (un disco, un'immagine, un export di log) con l'hash e le firme di chi consegna e di chi riceve. Un buco nel registro non rende falsa la prova, ma dà alla controparte un argomento per contestarla.

In Italia il codice di procedura penale fissa il principio per l'autorità giudiziaria e la polizia giudiziaria, con modifiche introdotte dalla legge 48/2008 che ha ratificato la Convenzione di Budapest sulla criminalità informatica. L'articolo 247, comma 1-bis, chiede che la perquisizione di un sistema informatico avvenga con misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l'alterazione. L'articolo 354, comma 2, chiede, ove possibile, la duplicazione immediata dei dati con una procedura che assicuri la conformità della copia all'originale e la sua immodificabilità. Sono norme scritte per chi indaga, non per le aziende. La nostra lettura è che conviene prenderle come metro anche per le evidenze raccolte in azienda: se finiscono in un procedimento penale, è prudente aspettarsi che vengano confrontate con questi criteri.

Sul piano tecnico internazionale il riferimento è la norma ISO/IEC 27037, dedicata alle evidenze digitali. Anche la ISO/IEC 27001:2022 tratta la raccolta delle evidenze tra i controlli dell'Annex A.

Chi fa l'informatico forense

L'informatico forense lavora su incarico di un'azienda, di un legale o dell'autorità giudiziaria. Nel processo penale il codice di procedura prevede due figure: il consulente tecnico del pubblico ministero (articolo 359), nominato quando servono competenze specifiche per accertamenti e operazioni tecniche, e il consulente tecnico di parte, che per l'articolo 233, quando non è disposta una perizia, ogni parte può nominare (in numero non superiore a due) per esporre il proprio parere al giudice.

Le competenze sono larghe: sistemi operativi e file system, reti, cloud, strumenti di acquisizione, e abbastanza diritto processuale da sapere cosa documentare. Per un'azienda del mid-market raramente ha senso un analista forense a tempo pieno: ha senso sapere in anticipo chi chiamare.

Prepararsi prima: la forensic readiness

La qualità di un'analisi forense si decide in gran parte prima dell'incidente. Se i log non ci sono, nessun analista li ricostruisce. Le cose da avere pronte:

• Log raccolti e conservati. Per i soggetti importanti NIS2 la misura di base ACN PR.PS-04 (allegato 1 della determinazione 379907/2025) chiede di registrare gli accessi remoti e quelli con privilegi amministrativi, di conservare in modo sicuro, possibilmente centralizzato, almeno per i sistemi rilevanti, i log necessari al monitoraggio degli eventi di sicurezza, e di fissare i tempi di conservazione in base alla valutazione del rischio.
• Un piano di gestione degli incidenti che preveda la raccolta delle evidenze prima del ripristino. La misura ACN RS.MA-01 chiede un piano con fasi, ruoli, contatti, comunicazione interna ed esterna e la reportistica per documentare l'incidente.
• Un modulo di catena di custodia già pronto e qualcuno che sappia compilarlo.
• Un accordo con chi interviene, interno o esterno, prima di averne bisogno.

C'è poi il tempo: più a lungo un attaccante resta nella rete senza essere visto, più le tracce iniziali vengono sovrascritte o escono dalla finestra di conservazione dei log (il tema è il dwell time). E quando un incidente diventa crisi aziendale, la scelta tra ripristinare subito e preservare le prove sale al comitato di crisi: come si organizza lo spiega la guida al crisis management.

Da dove partire

Se oggi la tua azienda non saprebbe dire dove sono i log dell'ultimo mese, chi può copiare un disco senza alterarlo o chi firma la catena di custodia, il primo passo non è comprare uno strumento: è scrivere queste tre risposte nel piano di risposta agli incidenti e verificarle con un'esercitazione. Se vuoi capire come monitoraggio continuo, raccolta dei log e risposta agli incidenti possono lavorare insieme nella tua realtà, trovi il nostro approccio nella pagina dedicata ai servizi di cybersecurity.