Che cos'è un'immagine forense, e quando ci serve?

Un'immagine forense è una copia esatta e verificata di un disco o della memoria di un computer, realizzata perché gli investigatori possano esaminarla senza modificare l'originale. Si ottiene con strumenti dedicati, viene contrassegnata con un hash come SHA-256 perché ogni modifica successiva sia rilevabile e viene conservata con la traccia di chi l'ha maneggiata. Serve quando l'incidente può sfociare in una controversia legale, una richiesta di indennizzo, una denuncia o domande di un'autorità, e quando vuole sapere come è entrato l'attaccante prima di ricostruire la macchina. I normali backup non la sostituiscono, perché tralasciano file cancellati, memoria e aree di sistema. Se può, la affidi a uno specialista. Le prove di rete la completano: NetSenX registra ciò che è passato in rete, cosa che l'immagine del disco di una singola macchina non può mostrare.

← Tutte le 60 domande su Risposta agli incidentiTutti i temi