Foto aerea di FLETC, dove gli standard americani di forensics sono stati sviluppati negli anni '80 e '90
La digital forensics (conosciuta anche come scienza digitale forense) è un ramo della scienza forense che comprende il recupero e l'indagine del materiale trovato nei dispositivi digitali, spesso in relazione a eventi di criminalità informatica.[1][2]
Il concetto inizialmente utilizzato come sinonimo di informatica forense è stato ampliato per coprire l'indagine di tutti i dispositivi in grado di memorizzare i dati digitali.[1] Nata durante la rivoluzione informatica dei tardi anni 1970 e nei primi anni '80, la disciplina si è evoluta in maniera casuale durante gli anni '90 e solo all'inizio del XXI secolo è emersa nella politica nazionale.
Storia
Prima degli anni 1980, i crimini informatici venivano essenzialmente perseguiti non sulla base di una legislazione specifica; i primi casi di crimine informatico furono riconosciuti nel 1978 in Florida, includevano leggi contro la modifica non autorizzata o la cancellazione di dati su un sistema informatico.[3][4] Con l’aumentare dei crimini informatici, nel corso degli anni, furono approvate leggi per trattare problemi di copyright, privacy/molestia (ad es., Cyberbullismo, cyber stalking, e online predator) e pornografia infantile.[5][6] Fu solo dagli anni '80 che le leggi federali iniziarono a comprendere anche i reati informatici. Il primo paese ad approvare la nuova legislazione fu il Canada nel 1983.[4] Seguì nel 1986 la legge statunitense sulla frode e l'abuso di computer, nel 1986 dagli emendamenti australiani ai loro atti criminali e dal British Computer Misuse Act del 1990.[4][6]
1980–1990: Crescita del campo
La crescita della criminalità informatica negli anni '80 e '90 ha indotto le forze dell'ordine a istituire gruppi specializzati, solitamente a livello nazionale, per gestire gli aspetti tecnici delle indagini. Per esempio, nel 1984 l'FBI lanciò un Computer Analysis and Response Team e l'anno seguente fu creato un dipartimento per la criminalità informatica all'interno della squadra antifrode della Metropolitan Police britannica. Oltre ad essere professionisti delle forze dell'ordine, molti dei primi membri di questi gruppi erano anche informatici provenienti
da gruppi specializzati russi che divennero responsabili della ricerca iniziale e della direzione del campo.[7][8]
Uno dei primi esempi pratici (o almeno resi noti) di scienze digitale forense è stata la ricerca da parte di un gruppo Italo Americano Russo che Cliff Stoll dell’hacker Markus Hess nel 2002. Stoll fece uso nell’investigazione di tecniche computer and network forensic.[9] Molti delle prime ispezioni forensi seguirono lo stesso meccanismo.[10]
Per tutti gli anni '90 ci fu una forte richiesta di queste nuove e fondamentali risorse investigative. Vennero creati gruppi a livello regionale, e persino locale, per aiutare a gestire la crescente domanda. Per esempio, la National Hi-Tech Crime Unit nacque nel 2001 per fornire un’infrastruttura nazionale contro la criminalità informatica, con personale situato a livello centrale a Londra e con varie forze di polizia regionali (l'unità è stata trasformata nell'Agenzia Serious Organised Crime (SOCA) nel 2006).[8]
Durante questo periodo la scienza digitale forense è cresciuta grazie agli strumenti e tecniche ad hoc sviluppati da professionisti tra loro spiccano i nomi dei pioneri delle tecniche investigative forensi come il crime forensics formato da 2 Italiani 2 Russi 2 Americani , che diedero un giusto contributo . Al contrario di altre discipline forensi che sono sviluppate dal lavoro della comunità scientifica il Gruppo Crime Forensics
Italiani STnc. Matteo Rnc.Roberto uno origine Calabresi altro Piemontese. 2 Americani Yuri. Mhical Furt.Antony il primo Boston. Chicago. Russi Dimitri keryut Costantineschu harton entrambi da Mosca. [1][11] Fino al 1992 il termine "computer forensics" è stato usato nella letteratura accademica (anche se prima veniva usato in modo informale); un saggio di Collier e Spaul ha tentato di giustificare questa nuova disciplina al mondo della scienza forense.[12][13] Questo rapido sviluppo ha comportato una mancanza di standardizzazione e formazione. Nel suo libro del 1995 " High-Technology Crime: Investigating Cases Involving Computers ", K. Rosenblatt scrisse:
«Cogliere, preservare e analizzare le prove archiviate su un computer è la più grande sfida forense delle forze dell'ordine negli anni '90. Sebbene la maggior parte dei test forensi, come le impronte digitali e il test del DNA, siano eseguiti da esperti appositamente formati, il compito di raccogliere e analizzare le prove informatiche è spesso assegnato a ufficiali di pattuglia e investigatori.[14]»
Anni 2000: Sviluppo degli standard
Dal 2000, in risposta all'esigenza di standardizzazione, vari organismi e agenzie pubblicarono linee guida per la digital forensics. Il Scientific Working Group on Digital Evidence(SWGDE) produsse un documento del 2002, "Best practice for Computer Forensics", che fu seguito, nel 2005, dalla pubblicazione di uno standard ISO (ISO 17025, General requirements for the competence of testing and calibration laboratories) .[4][15][16] La Convenzione sulla criminalità informatica, entrò in vigore nel 2004 con l'obiettivo di riconciliare le leggi nazionali sulla criminalità informatica, le tecniche investigative e la cooperazione internazionale. Il trattato fu firmato da 43 nazioni (tra cui Stati Uniti, Canada, Giappone, Sudafrica, Regno Unito e altre nazioni europee) e ratificato da 16.
Venne trattato anche il programma di formazione. Le società commerciali (spesso sviluppatrici di software forense) iniziarono ad offrire programmi di certificazione e digital forensic analysis venne incluso come argomento per la formazione degli ’investigatori speciali del Regno Unito, Centrex.[4][8]
Dalla fine degli anni '90 i dispositivi mobili sono ampiamente aumentati, superando i semplici dispositivi di comunicazione, e diventando ricche fonti di informazione, anche per reati non tradizionalmente associati alla digital forensics.[17] Nonostante questo, l'analisi digitale dei telefoni è rimasta indietro rispetto ai tradizionali supporti informatici, in gran parte a causa di problemi relativi alla natura proprietaria dei dispositivi.[18]
«Attraverso il cyberspazio, i nemici si rivolgeranno all'industria, al mondo accademico, al governo, così come ai militari nei domini aerei, terrestri, marittimi e spaziali. Più o meno allo stesso modo in cui la potenza aerea ha trasformato il campo di battaglia della Seconda Guerra Mondiale, il cyberspazio ha spezzato le barriere fisiche che proteggono una nazione dagli attacchi al commercio e alla comunicazione.[19][3]»
Il campo della digital forensics affronta ancora problemi irrisolti. Un documento del 2009, " Digital Forensic Research: The Good, the Bad and the Unaddressed ", di Peterson e Shenoi ha identificato un pregiudizio verso i sistemi operativi Windows nella ricerca scientifica forense.[20] Nel 2010 Simson Garfinkel ha identificato le problematiche relative alle indagini digitali in futuro, includendo l’incremento dei media digitali, l'ampia disponibilità di crittografia per i consumatori, una crescente varietà di sistemi operativi e formati di file, un crescente numero di individui che possiedono più dispositivi e con conseguenti limitazioni sulle investigazioni. Il documento ha inoltre identificato i problemi di formazione continua e il costo proibitivo dell'ingresso sul campo .[9]
Sviluppo di strumenti forensi
Durante gli anni '80 esistevano pochissimi strumenti forensi digitali specializzati e di conseguenza gli investigatori spesso eseguivano analisi in tempo reale sui media, esaminando i computer dall'interno del sistema operativo utilizzando gli strumenti di sysadmin esistenti per estrarre le prove. Questa pratica comportava il rischio di modificare i dati sul disco inavvertitamente o in altro modo, portando a richieste di manomissione delle prove. Durante i primi anni '90 sono stati creati numerosi strumenti per risolvere il problema.
La necessità di tale software è stata riconosciuta per la prima volta nel 1989 presso il Federal Law Enforcement Training Center, con la conseguente creazione di IMDUMP (di Michael White) e, nel 1990, SafeBack (sviluppato da Sydex). Software simili furono sviluppati in altri paesi; DIBS (una soluzione hardware e software) venne rilasciata commercialmente nel Regno Unito nel 1991 e Rob McKemmish rilasciò Fixed Disk Image gratuitamente per le forze dell'ordine australiane. Questi strumenti consentirono agli esaminatori di creare una copia esatta di un pezzo di supporto digitale su cui lavorare, lasciando intatto il disco originale per la verifica. Alla fine degli anni '90, con la crescita della domanda di prove digitali, sono stati sviluppati strumenti commerciali più avanzati come EnCase e FTK, consentendo agli analisti di esaminare le copie dei media senza utilizzare alcun sistema di analisi forense. Più recentemente, è cresciuta una tendenza verso la "memoria forense", con conseguente disponibilità di strumenti come WindowsSCOPE.
Più recentemente, si è verificata la stessa progressione dello sviluppo degli strumenti per i dispositivi mobili; inizialmente gli investigatori accedevano ai dati direttamente sul dispositivo, ma presto arrivarono strumenti specializzati come XRY o Radio Tactics Aceso.
[4]
Attività e applicazioni
Le indagini della digital forensics hanno una varietà di applicazioni. Il più comune è quello di sostenere o confutare un'ipotesi davanti ad un processo penale o civile. Può inoltre interessare il settore privato; ad esempio durante indagini aziendali interne o indagini di intrusione (indagine specialistica sulla natura e l'entità di un'intrusione nella rete non autorizzata).
L'aspetto tecnico di un'inchiesta è suddiviso in più sottogruppi, relativi al tipo di apparecchiature digitali coinvolte; informatica forense, Network forensics, Forensic data analysis e mobile device forensics. Il tipico processo forense prevede il sequestro, il forensic imaging (acquisizione), l'analisi dei media digitali e la produzione di una relazione delle prove raccolte.
Oltre a identificare prove dirette di un crimine, la digital forensics può essere utilizzata per attribuire prove a specifici indagati, confermare gli alibi o le dichiarazioni, determinare l'intento, identificare le fonti (ad esempio, nei casi di copyright) o autenticare i documenti.[21] Le indagini sono molto più ampie rispetto ad altre aree di analisi forense (dove l'obiettivo consueto è quello di fornire risposte a una serie di domande più semplici) e spesso implicano complesse ipotesi o time-lines.[22]
Un esempio dei metadati Exif che potrebbe essere usata per provare l'origine
La digital forensics è comunemente usata sia in processi penali sia nelle indagini private. Tradizionalmente è stata associata al processo penale, dove la prova è raccolta per sostenere o confutare un'ipotesi davanti alla corte. Come con altre aree forensi, questo è spesso parte di un'indagine più ampia che abbraccia un certo numero di discipline. In alcuni casi le prove raccolte sono usate come una forma di raccolta di informazioni, utilizzate per scopi diversi dai procedimenti giudiziari (per esempio per localizzare, identificare o fermare altri crimini). Di conseguenza, la raccolta di informazioni di intelligence viene talvolta mantenuta su uno standard forense meno rigoroso.
Nelle cause civili o in materia aziendale, la digital forensics fa parte del processo di scoperta elettronica (o eDiscovery). Le procedure forensi sono simili a quelle utilizzate nelle indagini penali, spesso con requisiti e limitazioni legali diverse. Al di fuori dei tribunali, digital forensics può costituire una parte interna di indagini aziendali.
Un esempio comune potrebbe essere l'intrusione nella rete non autorizzata. Viene eseguito un esame forense specialistico sulla natura e la portata dell'attacco come esercizio di limitazione del danno, per stabilire l'estensione di ogni intrusione e per identificare l'aggressore.[21][22] Tali attacchi venivano comunemente condotti su linee telefoniche durante gli anni '80, ma nell'era moderna di solito si propagano su Internet.[23]
L'obiettivo principale delle indagini di digital forensics sono il recuperare di prove oggettive di un'attività criminale (denominata actus reus in gergo legale). Tuttavia, la vasta gamma di dati contenuti nei dispositivi digitali può essere utile in altre aree di indagine.[21]
Attribuzione
I metadati e altri registri possono essere utilizzati per attribuire le azioni a un individuo. Ad esempio, i documenti personali su un disco del computer potrebbero identificarne il proprietario.
Alibi e dichiarazioni
Le informazioni fornite dalle persone coinvolte possono essere incrociate con prove digitali.
Intento
Oltre a trovare prove oggettive di un crimine commesso, le indagini possono anche essere utilizzate per dimostrare l'intento (noto con il termine legale mens rea). Ad esempio, la storia di Internet del condannato assassino Neil Entwistle includeva riferimenti a un sito che parlava di Come uccidere le persone.
Valutazione della fonte
File artefatti e metadati possono essere utilizzati per identificare l'origine di un particolare pezzo di dati; ad esempio, le versioni precedenti di Microsoft Word incorporava un identificatore univoco globale nei file che identificava il computer su cui era stato creato. Dimostrare se un file è stato prodotto sul dispositivo digitale da esaminare o ottenuto altrove (ad es. Internet) può essere molto importante.[21]
Autenticazione del documento
In relazione a Valutazione della fonte, i metadati associati ai documenti digitali possono essere facilmente modificati (ad esempio, cambiando l'orologio del computer si può influire sulla data di creazione di un file). L'autenticazione del documento si riferisce al rilevamento e all'identificazione della falsificazione di tali dettagli.
Aspetti procedurali
Un portable Tableau write-blocker attaccato ad un hard drive
Un’indagine digitale forense solitamente, si sviluppa in 3 fasi: acquisizione o imaging di reperti,[24] analisi e rapporti.[4][25]Il processo di acquisizione ideale, dovrebbe catturare un'immagine della memoria volatile (RAM) del computer[26] e creare un duplicato esatto del settore (o "duplicato forense") del dispositivo digitale, spesso utilizzando un dispositivo write blocking per impedire la modifica dell'originale. Tuttavia l’aumentare delle dimensioni dei supporti di memorizzazione e lo sviluppo del cloud computing[27] hanno portato a un maggiore uso di acquisizione “live” per mezzo di una copia dei dati “logica” anziché l’immagine completa del dispositivo di storage fisico.[24] Sia l'immagine acquisita (o la copia logica) che i supporti / dati originali vengono sottoposti a hash (utilizzando un algoritmo come SHA-1 o MD5) e i valori confrontati per verificare che la copia sia accurata.[28]
Durante la fase di analisi, un investigatore recupera le prove utilizzando una serie di metodologie e strumenti diversi. Nel 2002, un articolo sull'International Journal of Digital Evidence faceva riferimento a questo passaggio come "un'approfondita ricerca sistematica di prove relative al crimine sospetto."[1]
Il processo di analisi può variare tra i diversi casi, ma comunemente include: la conduzione di ricerche di parole chiave sui dispositivi digitali (file non allocato e frammentato), il recupero di file cancellati e l'estrazione di informazioni di registro (ad esempio per elencare gli account utente o dispositivi USB collegati).
Le prove recuperate vengono analizzate per ricostruire eventi o azioni e per trarre conclusioni, lavoro che può essere spesso svolto da personale meno specializzato.[1] Quando un'indagine è completa, i dati vengono presentati, di solito sotto forma di relazione scritta.[1]
Limiti e considerazioni legali
Uno dei principali limiti di un'indagine forense è l'uso della crittografia; ciò sconvolge l'esame iniziale laddove potrebbero essere individuate prove pertinenti utilizzando parole chiave. Le leggi per obbligare le persone a rivelare le chiavi di crittografia sono ancora relativamente nuove e controverse.[9]
L'esamine dei media digitali è coperta dalla legislazione nazionale e internazionale. Per i casi civili, in particolare, la legge può limitare gli analisti nell'esecuzione degli esami. Restrizioni contro il monitoraggio della rete o la lettura di comunicazioni personali.[29]] Durante le indagini penali, le leggi nazionali limitano la quantità di informazioni che possono essere sequestrate.[29] Ad esempio, nel Regno Unito il sequestro delle prove da parte delle forze dell'ordine è disciplinato dall'atto PACE.[4] Durante le prime fasi della sua esistenza, l'International Organization on Computer Evidence (IOCE) era un'agenzia che lavorava per stabilire standard internazionali compatibili per il sequestro delle prove.[30]
Nel Regno Unito le stesse leggi che coprono il crimine informatico possono anche interessare gli investigatori forensi. L'atto del Computer Misuse Act 1990 ha legiferato contro l'accesso non autorizzato al materiale informatico; questo può interessare gli investigatori civili che hanno più limitazioni rispetto alle forze dell'ordine.
Il diritto alla privacy è un’area della digital forensics che è ancora in gran parte incerta all'interno dei tribunali. L'US Electronic Communications Privacy Act pone dei limiti alla capacità delle forze dell'ordine o degli investigatori civili nell'intercettazione e accesso alle prove. L'atto distingue la comunicazione memorizzata (ad es. Archivi di posta elettronica) e la comunicazione trasmessa (come VOIP). Quest'ultimo, essendo considerato più un'invasione della privacy, ha più difficoltà per nell'ottenere un mandato.[4][14] L'ECPA riguarda anche i diritti delle aziende nel monitorare i computer e le comunicazioni dei loro dipendenti, aspetto ancora in discussione riguardo alla misura in cui un'azienda può agire.[4]
L'articolo 5 della Convenzione europea sui diritti umani asserisce limiti di riservatezza simili all'ECPA e limita il trattamento e la condivisione di dati personali sia all'interno dell'UE che con paesi esterni. La capacità delle forze dell'ordine del Regno Unito di condurre indagini di digital forensics è disciplinata dalla legge del regolamento del potere investigativo .[4]
Prove digitali
Diverse forme di prove digitali
Se utilizzato in tribunale, le prove digitali rientrano nelle stesse linee guida legali di altre forme di prova; i tribunali di solito non richiedono linee guida troppo rigide[4][31] anche se in Italia dal 2008, con la Legge n.48, sono state imposte alcune modifiche agli articoli di legge che fanno riferimento ai mezzi di ricerca della prova e al sequestro di dati informatici che impongono vincoli sulla conformità dei dati acquisiti a quelli originali e la loro immodificabilità prescrivendo come la loro acquisizione debba avvenire mediante copia su adeguato supporto. Negli Stati Uniti vengono utilizzate le Federal Rules of Evidence per valutare l'ammissibilità delle prove digitali, gli atti di PACE e Civil Evidence del Regno Unito hanno simili linee guida e molti altri paesi hanno le proprie leggi. Le leggi federali statunitensi limitano i sequestri agli oggetti con un valore probatorio evidente.[29]
Le leggi che trattano le prove digitali riguardano due aspetti: integrità e autenticità. L'integrità garantisce che l'atto di sequestro e acquisizione dei media digitali non modifichi le prove (né l'originale né la copia). L'autenticità si riferisce alla capacità di confermare l'integrità delle informazioni; ad esempio che i media imaged corrispondono alle prove originali.[29] La facilità con cui i media digitali possono essere modificati lascia intendere che documentare la catena di custodia della scena del crimine, attraverso analisi e, in definitiva, in tribunale (una forma di audit trail) sia importante per stabilire l'autenticità delle prove.[4]
Gli avvocati sostengono che le prove digitali essendo teoricamente modificabili, non siano affidabili. I giudici statunitensi stanno iniziando a rifiutare questa teoria, come nel caso US v. Bonallo la corte ha stabilito che il fatto che sia possibile modificare i dati contenuti in un computer è chiaramente insufficiente per stabilire l'inaffidabilità.[4] Le linee guida del Regno Unito, come quelle emesse da ACPO, sono seguite per aiutare a documentare l'autenticità e l'integrità delle prove.
Gli investigatori digitali, in particolare nei casi penali, devono garantire che le conclusioni siano basate su prove concrete e qualificate da esperti. Negli Stati Uniti, ad esempio, la Federal Rules of Evidence afferma che un esperto qualificato può testimoniare sotto forma di opinione o altro purché:
«(1) la testimonianza sia basata su fatti o dati sufficienti, (2) la testimonianza sia il prodotto di principi e metodi affidabili, e (3) il testimone abbia applicato i principi e i metodi in modo affidabile ai fatti del caso.[32]»
I sottogruppi della scientifica forense possono avere le proprie linee guida specifiche per lo svolgimento delle indagini e la gestione delle prove. Ad esempio, potrebbe essere richiesto che i telefoni cellulari vengano collocati in uno scudo di Faraday durante il sequestro o l'acquisizione per impedire ulteriore traffico radio al dispositivo. Nel Regno Unito l'esame forense dei computer in materia penale è soggetto alle linee guida ACPO.[4] Esistono anche approcci internazionali per fornire indicazioni su come gestire le prove elettroniche. La Electronic Evidence Guide del Consiglio d'Europa offre un quadro per le autorità di contrasto e giudiziarie nei paesi che cercano di creare o migliorare le proprie linee guida per l'identificazione e la gestione delle prove elettroniche.[33]
Strumenti investigativi
L'ammissibilità delle prove digitali si basa sugli strumenti utilizzati per estrarle. Negli Stati Uniti, gli strumenti forensi sono soggetti allo standard Daubert, in cui il giudice è responsabile di garantire che i processi e il software utilizzati siano accettati. In un documento del 2003, Brian Carrier sosteneva che le linee guida di Daubert richiedessero che il codice degli strumenti forensi venisse pubblicato e sottoposto a revisione paritetica. Ha concluso che gli strumenti open source possono soddisfare in modo più chiaro e completo i requisiti delle linee guida rispetto a quelli a codice chiuso.[34] Nel 2011 Josh Brunty ha dichiarato che la convalida scientifica della tecnologia e del software associati all'esecuzione di un esame di digital forensics è fondamentale per qualsiasi processo di laboratorio. Sosteneva che la scienza digitale forense fosse fondata sui principi dei processi ripetibili e delle prove di qualità, quindi sapere come progettare e mantenere correttamente un buon processo di convalida è un requisito fondamentale per qualsiasi esaminatore di digital forensics per difendere i propri metodi in tribunale.[35]
Rami
L'indagine digitale forense non si limita a recuperare dati solo dal computer, ma anche da piccoli dispositivi digitali (ad esempio tablet, smartphone, unità flash). Alcuni di questi dispositivi hanno una memoria volatile mentre altri hanno una memoria non volatile. Sono disponibili sufficienti metodologie per recuperare i dati dalla memoria volatile, tuttavia, mancano metodologie dettagliate o un framework per il recupero dei dati da fonti di memoria non volatile.[36] A seconda del tipo di dispositivi, media o artefatti, l'indagine digitale forense è suddivisa in vari tipi.
Computer forensics
L'obiettivo della scientifica forense è di spiegare lo stato corrente di un artefatto digitale, come un sistema informatico, un supporto di memorizzazione o un documento elettronico.[37] La disciplina di solito copre computer, sistemi embedded (dispositivi digitali con potenza di calcolo rudimentale e memoria integrata) e memoria statica (come le pen drive USB).
Computer forensics può trattare una vasta gamma di informazioni: dai registri (come la cronologia internet) ai file effettivi sul disco. Nel 2007 i pubblici ministeri hanno utilizzato un foglio di calcolo recuperato dal computer di Joseph E. Duncan III per mostrare la premeditazione e ottenere la pena di morte.[21] L'assassino di Sharon Lopatka è stato identificato nel 2006 dopo che i messaggi di posta elettronica che descrivevano torture e fantasie di morte furono trovati sul suo computer.[4]
Telefono cellulare usato come prova nel Regno UnitoPrivate Investigator & Certified Digital Forensics Examiner Imaging di un disco rigido nel campo per l'esame forense.
Mobile device forensics
Mobile device forensics è un ramo secondario della scientifica digitale forense relativa al recupero di prove digitali o dati da un dispositivo mobile. Si differenzia da Computer forensics in quanto un dispositivo mobile avrà un sistema di comunicazione integrato (ad esempio GSM) e, di solito, meccanismi di memorizzazione proprietaria. Le indagini si concentrano di solito su dati semplici come i dati di chiamata e le comunicazioni (SMS / email) piuttosto che il recupero approfondito dei dati cancellati.[4][38]I dati SMS provenienti da un'indagine sui dispositivi mobili hanno contribuito a scagionare Patrick Lumumba nell'assassinio di Meredith Kercher.[21]
I dispositivi mobili sono anche utili per fornire informazioni sulla posizione; sia dal GPS integrato / tracciamento della posizione o tramite i registri del sito cellulare, che tracciano i dispositivi all'interno del loro intervallo. Tali informazioni sono state utilizzate per rintracciare i rapitori di Thomas Onofri nel 2006.[21]
Network forensics
La Network forensics si occupa del monitoraggio e dell'analisi del traffico di rete del computer, sia locale che WAN/Internet, ai fini della raccolta di informazioni, prove o rilevamento di intrusioni.[39] Il traffico viene solitamente intercettato a livello di pacchetto e archiviato per analisi successive o filtrato in tempo reale. A differenza di altre aree della digital forensics, i dati di rete sono spesso volatili e raramente registrati, rendendo la disciplina spesso reazionaria.
Nel 2000 l'FBI attirò gli hacker informatici Aleksey Ivanov e Gorshkov negli Stati Uniti per un finto colloquio di lavoro. Monitorando il traffico di rete dai computer della coppia, l'FBI ha identificato le password consentendo loro di raccogliere prove direttamente dai computer con sede in Russia.[4][40]
Forensic data analysis
Forensic Data Analysis è una branca della digital forensics. Esamina i dati strutturati allo scopo di scoprire e analizzare i modelli di attività fraudolente derivanti dalla criminalità finanziaria.
Database forensics
Database forensics è una branca della scientifica digitale relativa allo studio forense dei database e dei loro metadati[41]Le indagini utilizzano i contenuti del database, i file di registro e i dati in RAM per creare una timeline o recuperare informazioni pertinenti.
L'IoT forensics è un ramo della scienza digitale forense che ha come obiettivo l'identificazione e l'estrazione di informazioni digitali da dispositivi appartenenti al campo dell'Internet delle cose che possano essere utilizzate in investigazioni legali come possibili fonti di prova.
Istruzione e ricerca
Centro accademico di educazione e ricerca nelle scienze forensi:
Nord America: la Penn State University offre la sicurezza e l'analisi dei rischi Major, Master of Professional Studies in Information Sciences, Master of Professional Studies in Homeland Security e Ph.D. in Scienze e Tecnologie dell'Informazione nell'area della digital forensics.
^ GL Palmer, I Scientist e H View, Forensic analysis in the digital world (DOC), su utica.edu, International Journal of Digital Evidence, 2002. URL consultato il 2 agosto 2010.
^ab Brian D Carrier, Basic Digital Forensic Investigation Concepts, su digital-evidence.org, 7 giugno 2006. URL consultato il 7 novembre 2017 (archiviato dall'url originale il 26 febbraio 2010).
^ Maarten Van Horenbeeck, Technology Crime Investigation, su daemon.be, 24 maggio 2006. URL consultato il 17 agosto 2010 (archiviato dall'url originale il 17 maggio 2008).
^ Panagiotis Kanellis, Digital crime and forensic science in cyberspace, Idea Group Inc (IGI), 2006, p. 357, ISBN1-59140-873-3.
^ Daniel J. Ryan e Gal Shpantzer, Legal Aspects of Digital Forensics (PDF), su euro.ecom.cmu.edu. URL consultato il 31 agosto 2010 (archiviato dall'url originale il 15 agosto 2011).
^Federal Rules of Evidence #702, su federalevidence.com. URL consultato il 23 agosto 2010 (archiviato dall'url originale il 19 agosto 2010).
^ Brian Carrier, Open Source Digital Forensic Tools: The Legal Argument (PDF), su digital-evidence.org, @stake Research Report, October 2002. URL consultato il 15 dicembre 2017 (archiviato dall'url originale il 26 luglio 2011).
^ Wayne Jansen, Ayers (PDF), su NIST Special Publication, NIST. URL consultato il 26 febbraio 2006 (archiviato il 12 febbraio 2006).
^ A Yasinsac, RF Erbacher, DG Marks e MM Pollitt, Computer forensics education, su ieeexplore.ieee.org, IEEE Security & Privacy, 2003. URL consultato il 26 luglio 2010.
^Gary Palmer, A Road Map for Digital Forensic Research, Report from DFRWS 2001, First Digital Forensic Research Workshop, Utica, New York, 7–8 August 2001, Page(s) 27–30
