# Che cos'è un'immagine forense, e quando ci serve?

Un'immagine forense è una copia esatta e verificata di un disco o della memoria di un computer, realizzata perché gli investigatori possano esaminarla senza modificare l'originale. Si ottiene con strumenti dedicati, viene contrassegnata con un hash come SHA-256 perché ogni modifica successiva sia rilevabile e viene conservata con la traccia di chi l'ha maneggiata. Serve quando l'incidente può sfociare in una controversia legale, una richiesta di indennizzo, una denuncia o domande di un'autorità, e quando vuole sapere come è entrato l'attaccante prima di ricostruire la macchina. I normali backup non la sostituiscono, perché tralasciano file cancellati, memoria e aree di sistema. Se può, la affidi a uno specialista. Le prove di rete la completano: NetSenX registra ciò che è passato in rete, cosa che l'immagine del disco di una singola macchina non può mostrare.

FAQ: [Risposta agli incidenti](https://netsenx.com/it/faq/incident) · https://netsenx.com/it/faq/what-is-a-forensic-image

## Da leggere dopo

- https://netsenx.com/it/detect-ransomware-on-the-network
- https://netsenx.com/it/nis2-incident-reporting-deadlines

## Domande correlate

- [Che cos'è la catena di custodia delle prove digitali?](https://netsenx.com/it/faq/what-is-chain-of-custody-for-digital-evidence)
- [Come conserviamo i log prima che vengano sovrascritti?](https://netsenx.com/it/faq/how-to-preserve-logs-before-they-are-overwritten)
- [Che cosa significa eradicazione nella risposta agli incidenti?](https://netsenx.com/it/faq/what-does-eradication-mean-in-incident-response)
- [Come reimpostiamo le password in sicurezza dopo una violazione?](https://netsenx.com/it/faq/how-to-reset-passwords-safely-after-a-breach)
- [Come sappiamo che l'attaccante se n'è andato davvero?](https://netsenx.com/it/faq/how-do-we-know-the-attacker-is-really-gone)