fbpx

Che cos’è una copia forense?

Una copia forense (o bit stream image, o copia bit a bit) è la copia bit per bit dei dati digitali presenti in un dispositivo di memorizzazione di dati digitali verso un altro dispositivo di memorizzazione di dati digitali, in modalità clone o in modalità immagine.

Perchè si esegue una copia forense

Una copia forense di differenzia da una copia normalmente effettuata dall’utente di un sistema operativo per i seguenti motivi:

  • Con la copia forense è possibile copiare anche i dati dello spazio cancellato;
  • con la copia forense è possibile copiare anche i dati dello slack space;
  • con la copia forense si preservano le date dei file;
  • con la copia forense si ha una copia integra e completa, senza rischi di perdere dati importanti perché inizialmente ritenuti meno significativi.

In altri termini, con la copia bit a bit si effettua una esatta clonazione, senza perdita di dati nella destinazione e senza alterazione di dati nella sorgente.

In che modo è possibile effettuare una bit stream image

È possibile realizzare una copia forense utilizzando:

  • un copiatore hardware
  • un PC sul quale è installato un software di acquisizione e, possibilmente, di un write blocker hardware
  • una distribuzione forense Linux, eventualmente utilizzando un write blocker hardware

Che cos’è la copia clone?

La copia clone è una modalità di esecuzione della copia forense che permette la duplicazione di tutti i bit del supporto originario all’interno di un supporto destinazione rispettando l’esatta sequenza di riproduzione dei bit.
Al termine dell’operazione, i due supporti sono identici e non è più possibile distinguere l’originario dal supporto generato.
Il vantaggio di questa metodologia sta nella possibilità di utilizzare il supporto destinazione come hard disk per avviare la macchina, ad esempio per effettuare delle simulazioni.
Lo svantaggio sta nella necessità di dover utilizzare un write blocker per accedere anche ai dati della copia, dal momento che un accesso privo di precauzione comporterebbe l’immediata alterazione dei dati e inattendibilità dell’analisi forense.

Che cos’è la copia immagine?

La copia immagine è una modalità di esecuzione della copia forense che permette la duplicazione di tutti i bit del supporto originario all’interno di un file all’interno di un supporto destinazione. Il file destinazione può essere in modalità RAW, occupando la stessa dimensione del supporto originario, oppure in modalità compressa, utilizzando ad esempio il formato EWF. Inoltre, il file destinazione può essere spezzato in più file di dimensione inferiore (ad esempio 2 GB ogni file), potendo così memorizzare successivamente la copia forense su supporti più piccoli, ad esempio su DVD.

Il vantaggio dell’esecuzione di una copia per immagine sta sia nella possibilità di salvare un maggior numero di immagini forensi nella destinazione, sia nella possibilità di accedere ad essa senza bisogno di utilizzare un write blocker.