re: [ml] attivita' forense

> 1) il disco su cui operare l'analisi non deve, secondo me, essere
> montato: è preferibile infatti effettuare una copia fisica con dd senza
> necessità di montare nessuna partizione

In generale sì, ma smontando il disco/spegnendo la macchina si perdono
processi, memoria e le varie informazioni di stato. Se l'attacker non
ha effettuato modifiche al fs, si corre il rischio di restare con un
pugno di mosche, log della macchina a parte.

> 2) la copia di un disco per attività forensi non deve essere fatta come
> si farebbe una copia di backup: non devo limitarmi a copiare solo i
> files ma devo appunto usare uno strumento di copia fisica per copiare
> anche settori che possono risultare non occupati, non utilizzati e
> persino lo spazio non partizionabile. quindi devo sempre usare uno
> strumento come dd e non strumenti come cp

Idem come sopra, anche se si potrebbero usare tools compilati
staticamente per analizzare i settori/inode alla ricerca di tracce
nascoste.

> 3) penso che sia sempre meglio eseguire un hash del disco/partizioni copiate

Assolutamente.


saluti
xeon