Creare un CD Forense Avviabile per l'Acquisizione Live: Strumenti e Procedura
Scopo
Un CD/USB forense avviabile fornisce un ambiente attendibile e write-blocked per acquisire dati da un sistema live (in esecuzione) senza alterare il sistema operativo host—critico per risposta a incidenti, analisi malware e preservazione di prove.
Piattaforme Forensi Avviabili Principali
| Piattaforma | Base | Strumenti Chiave Inclusi | Licenza | Ideale Per |
|---|---|---|---|---|
| Kali Linux (Modalità Forense) | Debian | dd, dc3dd, Guymager, FTK Imager CLI, Autopsy, Sleuth Kit, Volatility, Bulk Extractor, ewfacquire | Gratis / Open Source | Acquisizione live generale, cattura memoria, triage |
| CAINE (Computer Aided INvestigative Environment) | Ubuntu | Tutti i precedenti + Photorec, TestDisk, RegRipper, WinHex, script specializzati | Gratis / Open Source | Standard LE italiano; GUI amichevole |
| DEFT (Digital Evidence & Forensics Toolkit) | Lubuntu | DART (Digital Advanced Response Toolkit), Autopsy, Volatility, strumenti forensi rete | Gratis / Open Source | Risposta live, memoria, rete |
| Paladin (SUMURI) | Ubuntu | Ampia suite pre-installata, auto-mount write-block, modelli reportistica | Gratis / Supporto a pagamento | Flusso di lavoro GUI completo |
| FTK Imager (Standalone Avviabile) | WinPE / Linux | FTK Imager (immaginazione, hashing, montaggio, cattura RAM) | Gratis (registrazione) | Formato immagine attendibile (E01, AFF, raw) |
| EnCase Portable / Endpoint Investigator | WinPE | Acquisizione EnCase, analisi, scripting | Commerciale | Enterprise, flussi di lavoro accettati in tribunale |
Creazione del Supporto Avviabile
- Scarica ISO da fonte ufficiale (verifica SHA256).
- Scrivi su USB (preferibile a CD: più veloce, riscrivibile, maggiore capacità) usando:
- Rufus (Windows) — seleziona modalità "Immagine DD" per ISO Linux.
- BalenaEtcher (Multipiattaforma).
- dd (Linux/macOS):
dd if=forensic.iso of=/dev/sdX bs=4M status=progress oflag=sync
- Testa l'avvio su una macchina non target: verifica write-blocker attivo (controlla
/sys/block/sdX/ro= 1), strumenti si avviano, configurazione rete.
Esecuzione Acquisizione Live
- Documenta: ID caso, esaminatore, data/ora, dettagli sistema target, hash supporto avvio.
- Avvia Target: Inserisci supporto, avvia (potrebbe essere necessario menu avvio BIOS/UEFI, disabilita Secure Boot).
- Seleziona Modalità Forense: Auto write-block + nessun automount.
- Identifica Disco Target:
lsblk,fdisk -l. Annota dimensione, partizioni. - Acquisisci:
- Immagine Disco Completo (dd/dc3dd/ewfacquire):
ewfacquire -t /mnt/evidence/image.E01 /dev/sdX - File/Cartelle Logiche: FTK Imager GUI,
cp -a(con cautela). - Memoria (RAM):
lime,avml,WinPMEM(Linux/Win). - Dati Volatili: Connessioni di rete (
ss -tunap), processi (ps aux), utenti loggati (w), file aperti (lsof).
- Immagine Disco Completo (dd/dc3dd/ewfacquire):
- Verifica: Hash (MD5/SHA1/SHA256) origine vs immagine. Registra tutto.
- Preserva Catena di Custodia: Sigilla, etichetta, conservazione sicura.
Imperativi Legali ed Etici
- Autorizzazione corretta (mandato, consenso, policy).
- Minimizza impatto sul sistema (sola lettura, nessuna scrittura sul target).
- Documenta ogni comando, output, timestamp.
- Formazione: SANS FOR500/508, GCFA, EnCE, certificazioni vendor.