Informatica forense

L'informatica forense è un sottoinsieme della scienza forense — la raccolta e l'analisi delle prove relative a reati — che si concentra sulle informazioni digitali. Tra gli esempi rientrano il recupero di dati da un computer, l'analisi dei metadati di file specifici e il monitoraggio del traffico di rete.

Un primo passaggio comune nel processo di informatica forense consiste nell'accedere ai dati di un dispositivo elettronico. Ad esempio, un computer portatile, uno smartphone o un account di archiviazione nel cloud possono contenere dati pertinenti a una specifica indagine. In alcuni casi, i dati sono facilmente accessibili, mentre in altri possono essere crittografati o richiedere un accesso. L'informatica forense può anche prevedere il recupero di dati da un dispositivo di archiviazione danneggiato o parzialmente cancellato.

Dopo aver ottenuto l'accesso ai dati, gli investigatori possono cercare o esaminare cartelle e file per trovare informazioni pertinenti. Ad esempio, possono cercare email o messaggi di testo inviati in un momento specifico. Anche immagini o video possono fornire prove utili. Anche i metadati di alcuni file possono essere d'aiuto. Ad esempio, l'intestazione di un'email può includere l'indirizzo IP del dispositivo che ha inviato il messaggio. I dati EXIF di un'immagine possono includere informazioni sulla posizione GPS, oltre alla data e all'ora in cui è stata scattata.

Sebbene l'informatica forense si concentri generalmente sul recupero di dati esistenti, può anche prevedere il monitoraggio dei dati in tempo reale. Ad esempio, un investigatore può usare un analizzatore di pacchetti per registrare i pacchetti inviati tramite la connessione wireless di una persona.

Autenticità dei dati

Indipendentemente dal processo usato per recuperare le informazioni digitali, l'autenticità dei dati è fondamentale nei procedimenti penali. Poiché le informazioni digitali possono essere copiate o modificate facilmente, spesso è difficile verificare quali siano i dati originali. Potrebbero essere necessarie prove corroboranti per assicurarsi che i dati digitali non siano stati alterati. Tra gli esempi rientrano copie dei dati provenienti da più dispositivi e file di registro di un server.