Re: [ml] attivita' forense

On 5/21/06, Paolo Pedaletti <paolo.pedaletti@xxxxxxxxxxx> wrote:
> scusa ma.... se il sistema operativo e' "operativo" appunto, come
> possono coincidere le immagini prima e dopo il salvataggio?
> solo il DOS, monotasking monoutente puo' rimanere inalterato cosi' a
> lungo.

Beh, in "stasi" è possiibile (e spesso capita) che il tutto sia
inalterato, soprattutto in visione del fatto che gli eseguibili
utilizzati sono lanciati da CD di helix (o similia).

Senza questa certezza della copia "reale" non mi azzarderei ad una
forensics sui dati recuperati... A questo punto meglio un bel "pull
the plug*" dopo aver fatto la live forensics...

E poi una acquisizione "non live"... Sai, non vorrei diver motivare
perchè non coincidono gli hash...

My 2 cents as always :)

MgpF

*pull the plug: stacco la spina DALLA PARTE DEL PC... Anche qui la
letteratura si spreca...

--
Matteo G.P. Flora | mf@xxxxxxxxxxxxxxx | www.MatteoFlora.com
Pres. Milano AIP-ITCS #2657 | IEEE CS Member #80409490
Privacy & Security Consultant | Forensic Examiner | SEO Expert
Secure Channel | pgp F3B6BC10 | 1984-at-nym.hash-dot-com