Bisogna raccogliere prove (forensics) dai resti dell'attacco. Chi lo fa? Come si fa?

ingaggia un esperto di informatica forense fai denuncia alla polizia e non toccare il disco, fai fare l'imaging a un professionista... trova la timeline il malware e scrivi il report. cioè documenta la catena di cusodia — le prove devono essere ammesse in tribunale...

Flusso di lavoro della computer forensics: 1) Acquisizione (strumento dd: dd if=/dev/sda of=image.img bs=1M, verifica hash MD5), 2) Analisi (FTK Imager, EnCase, analisi della memoria con Volatility), 3) Timeline (timestamp dei file: creazione, modifica, accesso — MAC times), 4) Recupero artefatti (hive del Registro di sistema Windows, cache del browser, database email), 5) Analisi malware (statica + dinamica: esecuzione in sandbox, analisi del dump di memoria), 6) Reporting (formato SANS: metodologia, risultati, raccomandazioni). Modulo di catena di custodia: identificativo dispositivo, data/ora di consegna, firma dell'operatore, condizioni di conservazione, log di accesso (chi, quando). Ammissibilità in tribunale (Codice di Procedura Penale turco): certificazioni di competenza, validazione della metodologia, ripetibilità (un altro esperto otterrebbe lo stesso risultato?).

non toccare il computer assumi un essperto forense... boh fai un'immagine del disco documenta l'hash. documenta la catena di custodia — chi l'ha in mano, quando. nel report metti timeline analisi malware. l'ammissibilità della prova in tribunale dipende dalla correttezza della metodologia...

Fasi dell'indagine forense: Preservazione (cattura immediata delle prove, nessuna modifica al sistema), Acquisizione (copia bit-per-bit, verifica hash crittografico), Esame (parsing dei dati, estrazione artefatti), Analisi (ricostruzione timeline, collegamento causale), Reporting (documentazione strutturata, verifica dei risultati). Assicurazione qualità: verifica indipendente (revisione di un secondo analista), validazione degli strumenti (solo software forense approvato), qualifiche dell'esperto (certificazioni: GCFE, CFE, ECCE). Ammissibilità legale: standard Daubert (tribunali USA) o equivalente (i tribunali UE/TR richiedono che la metodologia sia peer-reviewed, che i tassi di errore siano noti e che vi sia accettazione generale nel settore).

Il mio dubbio è stato chiarito, grazie. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Lascio una nota, potrebbe servire.

Raro trovare articoli che spiegano le cose così chiaramente. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

grazie mille proverò oggi. quando prendete una decisione scrivete anche lo scenario peggiore non solo quello migliore.

prendere misure senza fare un inventario lascia aerta una porta che non vedi.

raro trovare articoli che spieegano le cose così chiaramente.

Non posso essere d'accordo al 100%. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi. Se avete domande, scrivete, rispondo per quanto possibile.

Sono d'accordo. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Io seguirei questa strada.

In generale è corretto, ma manca un pezzo. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Spero che le sia utile.

La strada che sembra economica di solito finisce per costare cara. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere. Naturalmente cambia se la vostra situazione è diversa.

sono d'accordo, anzi vorrei sottolinearlo. se cerchi di cambiare tutto insieme niente si stabilizza.

sono curioso di sapere se qualcuno lo fa in modo diverso.

Il punto più trascurato riguardo a analisi forense digitale è questo: Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Quando prendi una decisione guarda prima quali dati hai a disposizione. boh sono curioso di sapere se qualcuno lo fa in modo diverso.

Non trascurare nulla: Se permessi e ambito non sono scritti, quel test non deve iniziare.

Un backup non testato non è un backup.

Hai fatto bene ad aprire questo thread. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

È tutto, scusate se mi sono dilungato.

Sì, per quanto riguarda analisi forense digitale la situazione è esattamente così. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio. È tutto, scusate se mi sono dilungato.