Dall’evidenza digitale al fatto tecnicamente dimostrabile
La Digital Forensics non consiste semplicemente nel recuperare file o analizzare un dispositivo.
Serve a individuare, acquisire, preservare e interpretare evidenze digitali ricostruendo ciò che è accaduto e distinguendo sempre il dato osservabile dall’interpretazione tecnica.
Quando queste evidenze entrano in un contenzioso, in un procedimento o in una contestazione aziendale, entra in gioco anche la Legal Forensics: il dato deve essere non soltanto individuato, ma verificabile, documentato e tecnicamente difendibile.
In breve
Digital Forensics, o informatica forense, è la disciplina che individua, acquisisce, preserva, analizza e interpreta evidenze digitali con l’obiettivo di ricostruire eventi tecnicamente verificabili. Può riguardare computer, dispositivi mobili, server, account, email, log, filesystem, metadata e altre fonti digitali.
Michaela Odderoli svolge attività di Digital Forensics, investigazione digitale e Consulenza Tecnica di Parte, con particolare attenzione a integrità delle evidenze, chain of custody, timeline, correlazione degli artefatti e distinzione tra dato osservabile, interpretazione tecnica e conclusione dimostrabile. L’analisi può supportare incidenti informatici, contenziosi, contestazioni aziendali, frodi e verifiche tecniche su acquisizioni o ricostruzioni precedenti.
Digital Forensics: ricostruire gli eventi
Computer, server, dispositivi mobili, account, log, email, browser, filesystem, metadata e applicazioni conservano tracce delle attività avvenute nel tempo.
L’analisi forense permette di correlare questi elementi per ricostruire eventi come:
- accessi non autorizzati;
- compromissioni di sistemi;
- ransomware;
- utilizzo improprio di account;
- sottrazione o alterazione di dati;
- frodi;
- attività svolte su dispositivi;
- comunicazioni ed eventi digitali rilevanti.
Un artefatto, però, non deve mai essere interpretato isolatamente.
Un timestamp non identifica automaticamente chi ha compiuto un’azione.
Un account non dimostra da solo chi lo stesse utilizzando.
La presenza di un file non prova necessariamente chi lo abbia creato.
Il dato deve essere contestualizzato e correlato.
Acquisizione, integrità e tracciabilità
Prima dell’analisi viene la preservazione dell’evidenza.
A seconda dello scenario, il processo comprende identificazione delle fonti, acquisizione forense, verifica dell’integrità mediante hashing, documentazione delle operazioni e separazione tra originale, copia acquisita e ambiente di analisi.
La chain of custody consente di ricostruire chi abbia avuto disponibilità dell’evidenza, quando e per quali attività.
Non è burocrazia aggiunta alla fine dell’indagine.
È parte della sua affidabilità.
Timeline e incidenti informatici
Quando più fonti vengono correlate temporalmente è possibile costruire una timeline dell’evento.
Autenticazioni, accessi, esecuzione di programmi, modifica dei file, connessioni, log applicativi e attività degli utenti possono contribuire a determinare:
quando è iniziato l’evento, quali sistemi sono stati coinvolti, cosa è accaduto prima e dopo e quali elementi risultano incoerenti con la ricostruzione iniziale.
Negli incidenti cyber questo permette di approfondire vettore iniziale, persistenza, movimenti laterali, utilizzo delle credenziali, accesso ai dati ed eventuale esfiltrazione.
Ripristinare un sistema e preservare le evidenze non sono sempre la stessa cosa.
Legal Forensics e Consulenza Tecnica di Parte
Quando l’evidenza digitale entra nel perimetro legale, la domanda non è soltanto cosa sia tecnicamente possibile osservare.
Occorre stabilire cosa quel dato consenta realmente di sostenere.
Nell’attività di Consulente Tecnico di Parte possono rientrare:
- esame della documentazione tecnica;
- verifica delle modalità di acquisizione;
- analisi degli artefatti digitali;
- valutazione dell’integrità e della tracciabilità;
- controllo delle metodologie utilizzate;
- individuazione di incongruenze o lacune;
- formulazione di osservazioni tecniche;
- supporto alla comprensione degli elementi informatici.
Una conclusione può essere plausibile senza essere sufficientemente dimostrata.
È una differenza fondamentale.
Evidenza, interpretazione e attribuzione
Nel lavoro forense mantengo distinti tre livelli:
Evidenza
Ciò che il sistema o l’artefatto consente direttamente di osservare.
Interpretazione
Il significato tecnico attribuito all’evidenza nel suo contesto.
Conclusione
Ciò che può essere sostenuto attraverso la convergenza degli elementi disponibili.
Questa distinzione è particolarmente importante nell’attribuzione.
Un indirizzo IP non identifica automaticamente una persona.
Un dispositivo collegato a una rete non dimostra da solo chi lo stesse utilizzando.
Un account non equivale necessariamente al soggetto al quale è intestato.
La prudenza metodologica non indebolisce un’analisi forense. La rende più solida.
Il mio approccio
Sono Michaela Odderoli, cybersecurity specialist, analista forense e Consulente Tecnico di Parte.
Da 36 anni lavoro nella sicurezza informatica occupandomi di Digital Forensics, incident response, investigazioni digitali, OSINT, social engineering e analisi delle minacce.
Nel lavoro forense considero essenziale separare sempre:
ciò che il sistema registra, ciò che l’analista interpreta e ciò che può essere dimostrato.
Sono inoltre CEO di Pragmat AI S.r.l.
Interventi, pubblicazioni e attività professionali sono raccolti nella pagina Pubblicazioni e Riconoscimenti.
Quando serve un’analisi forense
Digital Forensics e Legal Forensics diventano necessarie quando occorre ricostruire un evento, verificare una contestazione, analizzare evidenze digitali o sottoporre a controllo tecnico una precedente ricostruzione.
La domanda iniziale non è quale software utilizzare.
È:
che cosa possiamo realmente dimostrare attraverso le evidenze disponibili?
Per attività di Digital Forensics, Legal Forensics o consulenza tecnica di parte puoi contattarmi direttamente.