Copia forense di hard disk, SSD, pendrive e NAS

Avvertenza preliminare

Questo capitolo non fornisce istruzioni per accedere abusivamente a sistemi informatici, violare password, superare protezioni, aggirare cifrature, sottrarre dati o copiare supporti senza autorizzazione.

La copia forense è un’attività tecnica delicata. Un errore può alterare il supporto, invalidare il lavoro, rendere fragile la catena di custodia o compromettere dati recuperabili.

Se non sei sicuro di quale sia il disco sorgente e quale sia il disco di destinazione, fermati.

Che cos’è una copia forense?

La copia forense è una duplicazione tecnica di un supporto digitale eseguita con metodo documentato, in modo da preservare il più possibile il contenuto originale e consentire l’analisi su una copia.

Può riguardare hard disk interni, SSD SATA o NVMe, pendrive USB, schede SD, hard disk esterni, NAS, partizioni, volumi logici, immagini disco e copie logiche di cartelle o file quando non è possibile una copia fisica completa.

Perché non basta fare copia e incolla?

Il semplice copia/incolla può non copiare file nascosti, file cancellati, spazio non allocato, slack space, strutture del file system, attributi e permessi. Inoltre può modificare date di accesso o metadati e non produce un log tecnico forense.

Tipi di acquisizione

Acquisizione fisica o bitstream

Copia dell’intero dispositivo o supporto, settore per settore. Può includere file attivi, file cancellati non sovrascritti, spazio non allocato, strutture del file system, partizioni, MBR/GPT e slack space.

Acquisizione logica

Copia di file e cartelle visibili, selezionati o esportati. È meno completa ma può essere proporzionata quando il disco è cifrato, il sistema è acceso, si lavora su NAS o l’incarico riguarda solo una cartella.

Acquisizione mirata

Raccolta selettiva di elementi rilevanti: log, cartelle, file audio, email, documenti PDF, directory utente o database specifici.

Acquisizione live

Eseguita su sistema acceso. Può essere necessaria quando il disco è cifrato e già sbloccato, quando ci sono volumi montati o dati volatili da preservare.

Acquisizione dead-box

Eseguita su dispositivo spento, rimuovendo il supporto e collegandolo alla workstation forense, preferibilmente con write blocker.

Cosa significa “forensic sound”?

Una procedura è forensically sound quando protegge l’originale, documenta ogni passaggio, riduce il rischio di alterazione, produce una copia verificabile, consente ripetibilità e permette confronto tramite hash.

• Protezione dell’originale.
• Uso di write blocker quando possibile.
• Analisi su immagine o copia di lavoro.
• Hash e verifica.
• Log e registro catena di custodia.
• Verbale tecnico con limiti e strumenti usati.

Strumenti principali

Kit minimo del perito informatico

Preparazione della workstation

La workstation deve essere stabile, ordinata e documentabile. Prima di collegare il supporto chiudi programmi inutili, disattiva sincronizzazioni cloud non necessarie, verifica lo spazio disponibile, prepara cartelle e registro, fotografa supporto e cablaggio.

MQ-2026-0043_Copia_Forense_Roma/
├── 00_incarico_e_verbali/
├── 01_foto_reperti/
├── 02_note_pre_acquisizione/
├── 03_hash_sorgente/
├── 04_immagini_forensi/
├── 05_log_strumenti/
├── 06_verifica_hash/
├── 07_copie_lavoro/
├── 08_report/
└── 09_allegati/

Usa nomi chiari: MQ-2026-0043-R01_HDD_WD_1TB.E01, MQ-2026-0043-R02_Pendrive_Kingston_32GB.dd, MQ-2026-0043-R03_SSD_Samsung_NVMe_512GB.E01.

Preparazione del supporto sorgente

Il supporto sorgente è il supporto che contiene la prova: hard disk, SSD, pendrive, scheda SD, NAS, disco esterno o immagine precedente.

Cosa fotografare

• Supporto fronte e retro.
• Seriale, etichetta e capacità dichiarata.
• Eventuali danni o segni.
• Cavo, adattatore e write blocker usato.

Dati da annotare

Marca:
Modello:
Seriale:
Capacità:
Interfaccia:
Tipo supporto:
Stato fisico:
Consegnante:
Data:
Ora:
Luogo:
Codice reperto:

Preparazione del disco di destinazione

Il disco di destinazione deve avere spazio sufficiente per immagine, file segmentati, log, hash, report, copie di lavoro, esportazioni e backup.

Evita file system con limiti come FAT32 per immagini molto grandi. In genere si usano NTFS, exFAT, ext4, APFS o file system adatto all’ambiente di lavoro.

Write blocker: cosa fa e perché è importante

Un write blocker impedisce che il computer scriva sul supporto sorgente. Quando un disco viene collegato a un sistema operativo, possono essere creati file di sistema, indici, miniature o aggiornati metadati. Il write blocker riduce questo rischio.

1. Spegnere il sistema sorgente, se acquisizione dead-box.
2. Rimuovere il disco, se autorizzato e possibile.
3. Collegare il disco al write blocker.
4. Collegare il write blocker alla workstation.
5. Verificare visibilità del supporto.
6. Procedere all’acquisizione senza montaggio in scrittura.

Formati di immagine forense

Scelta pratica: E01 quando si lavora con FTK Imager o Guymager; DD/RAW quando serve massima semplicità o compatibilità con strumenti Unix-like.

Procedura generale di copia forense

1. Creare codice caso.
2. Compilare verbale ricezione.
3. Fotografare supporto.
4. Identificare supporto.
5. Preparare destinazione.
6. Collegare con write blocker, se possibile.
7. Aprire strumento di imaging.
8. Selezionare correttamente sorgente.
9. Selezionare destinazione.
10. Scegliere formato immagine.
11. Inserire dati caso e note.
12. Abilitare hash e verifica.
13. Avviare acquisizione.
14. Salvare log e report.
15. Verificare hash.
16. Archiviare immagine.
17. Aggiornare registro catena di custodia.
18. Lavorare solo su copia.

Decisione preliminare: cosa sto copiando?

Prima di lanciare qualsiasi programma rispondi a domande pratiche: il supporto è fisico o logico? È sano o danneggiato? È cifrato? È montato su un computer acceso? È un NAS? È un RAID? Serve copia completa o mirata?

Identificare i dispositivi su Linux

lsblk -o NAME,SIZE,MODEL,SERIAL,TYPE,MOUNTPOINTS

dmesg | tail -50

sudo fdisk -l

Copia forense con FTK Imager

FTK Imager è uno strumento con interfaccia grafica utile per hard disk, SSD, pendrive, immagini logiche, esportazione mirata, creazione E01 e report hash.

1. Creare cartelle 04_immagini_forensi, 05_log_strumenti/FTK_Imager, 06_verifica_hash.
2. Collegare il disco sorgente con write blocker, se disponibile.
3. Aprire FTK Imager come amministratore.
4. Menu: File → Create Disk Image.
5. Scegliere sorgente: Physical Drive per disco completo, Logical Drive per partizione.
6. Verificare capacità, modello e seriale.
7. Scegliere formato E01 oppure Raw/DD.
8. Inserire numero caso, evidence number, examiner e note.
9. Indicare destinazione dell’immagine.
10. Abilitare verifica.
11. Avviare acquisizione e annotare ora inizio.
12. Al termine salvare report e log.

Case Number: MQ-2026-0043
Evidence Number: MQ-2026-0043-R01
Unique Description: HDD Western Digital 1TB
Examiner: Marcello Quaranta
Notes: Copia forense eseguita a Roma, supporto ricevuto da cliente.

Copia forense con Guymager

Guymager è un forensic imager Linux con interfaccia grafica. È utile quando si vuole lavorare in ambiente Linux e produrre immagini DD, EWF/E01 o AFF con hash e log.

sudo guymager

1. Avviare Guymager.
2. Individuare il disco sorgente nella lista.
3. Verificare modello, seriale e capacità.
4. Clic destro sul disco e scegliere acquisizione.
5. Selezionare formato immagine: EWF/E01 o DD.
6. Impostare cartella destinazione.
7. Inserire nome file, caso, descrizione ed esaminatore.
8. Abilitare hash, se previsto.
9. Avviare e attendere completamento.
10. Salvare e archiviare log e file info.

Copia forense con dd

sudo dd if=/dev/sdb of=04_immagini_forensi/MQ-2026-0043-R01.dd bs=4M status=progress

sync

sha256sum 04_immagini_forensi/MQ-2026-0043-R01.dd > 06_verifica_hash/MQ-2026-0043-R01_image_sha256.txt

Non usare dd se il disco fa rumori meccanici, presenta errori di lettura, si scollega, è fragile o non sei certo della sorgente.

Copia forense con dc3dd

dc3dd è una variante orientata alla computer forensics, utile per acquisizione raw con hash on-the-fly, log errori e progress report.

sudo dc3dd if=/dev/sdb of=04_immagini_forensi/MQ-2026-0043-R01.dd hash=sha256 log=05_log_strumenti/MQ-2026-0043-R01_dc3dd.log

Supporti danneggiati: ddrescue

Quando un disco presenta errori, ddrescue può essere più adatto perché tenta di copiare le parti leggibili e usa un mapfile per riprendere un recupero interrotto.

sudo ddrescue -f -n /dev/sdb 04_immagini_forensi/MQ-2026-0043-R01_rescue.dd 05_log_strumenti/MQ-2026-0043-R01_rescue.map

sudo ddrescue -d -r3 /dev/sdb 04_immagini_forensi/MQ-2026-0043-R01_rescue.dd 05_log_strumenti/MQ-2026-0043-R01_rescue.map

Copia forense di hard disk HDD

Gli hard disk meccanici possono contenere file cancellati, dati nello spazio non allocato, partizioni multiple e settori danneggiati. La procedura preferibile è acquisizione completa con protezione dell’originale.

1. Ricezione e verbale.
2. Foto del disco.
3. Annotazione marca, modello e seriale.
4. Collegamento con write blocker.
5. Identificazione in FTK/Guymager/Linux.
6. Acquisizione completa fisica.
7. Hash e verifica.
8. Salvataggio log.
9. Conservazione originale.
10. Analisi su immagine.

Copia forense di SSD

Gli SSD sono più delicati degli HDD per funzioni come TRIM, garbage collection, wear leveling, controller interno e cifratura hardware. I dati cancellati possono non essere recuperabili e lo stato interno può cambiare.

1. Documentare stato del computer.
2. Verificare se acceso o spento.
3. Valutare cifratura.
4. Se acceso e sbloccato, valutare acquisizione live/logica.
5. Se spento, acquisire rapidamente e documentare limiti.
6. Usare adattatore/write blocker adeguato, se disponibile.
7. Non avviare il sistema operativo originale.
8. Non eseguire riparazioni.
9. Non montare in scrittura.
10. Annotare possibili effetti TRIM e garbage collection.

Il supporto acquisito è un SSD. Si dà atto che funzionalità quali TRIM, garbage collection, wear leveling o cifratura possono incidere sulla disponibilità di dati cancellati o sulla ripetibilità di alcune verifiche.

Copia forense di SSD NVMe

Gli SSD NVMe sono frequenti nei computer moderni e richiedono adattatori affidabili, controllo temperatura e attenzione a cifratura e TRIM.

• Identificare modello del computer.
• Verificare se l’SSD è rimovibile o saldato.
• Usare adattatore o write blocker NVMe, se disponibile.
• Monitorare temperatura.
• Acquisire con FTK, Guymager o dc3dd.
• Documentare eventuali limiti.

Copia forense di pendrive, SD e microSD

Pendrive e schede SD sono frequenti in casi aziendali, dashcam, videocamere, fotocamere, droni, registratori audio e sistemi di videosorveglianza.

1. Fotografare supporto e adattatore.
2. Annotare marca, modello, capacità e seriale se disponibile.
3. Usare lettore affidabile.
4. Preferire write blocker USB/read-only se disponibile.
5. Acquisire immagine completa.
6. Calcolare hash.
7. Conservare originale.
8. Analizzare copia.

sudo dc3dd if=/dev/sdb of=04_immagini_forensi/MQ-2026-0043-R02_pendrive.dd hash=sha256 log=05_log_strumenti/MQ-2026-0043-R02_dc3dd.log

Copia forense di NAS

Il NAS richiede un approccio diverso perché può contenere RAID, snapshot, utenti, permessi, log, servizi cloud, backup, database, container e macchine virtuali. Non è sempre corretto spegnerlo e staccare i dischi.

Domande iniziali

Marca NAS?
Modello?
Numero dischi?
RAID?
File system?
Cartelle rilevanti?
Utenti coinvolti?
Periodo di interesse?
Log disponibili?
Snapshot attivi?
Accesso amministrativo autorizzato?

Acquisizione logica mirata

1. Ottenere autorizzazione scritta.
2. Documentare account usato.
3. Esportare lista file.
4. Copiare cartella in destinazione forense.
5. Calcolare hash file per file.
6. Conservare log copia.
7. Esportare permessi, se possibile.
8. Esportare log accessi.
9. Annotare che non si tratta di copia fisica completa.

Acquisizione fisica dei dischi NAS

1. Spegnere solo se opportuno e autorizzato.
2. Fotografare NAS.
3. Numerare slot dei dischi.
4. Estrarre un disco alla volta.
5. Etichettare ogni disco.
6. Acquisire ogni disco singolarmente.
7. Conservare ordine originale.
8. Analizzare RAID solo su copie/immagini.

Verifica dell’immagine forense

• Immagine creata.
• Log generato.
• Hash sorgente, se disponibile.
• Hash immagine.
• Verifica completata.
• Errori documentati.
• File segmentati presenti.
• Report salvato.
• Registro aggiornato.

sha256sum MQ-2026-0043-R01.dd > MQ-2026-0043-R01_image_sha256.txt

L’immagine forense è stata verificata mediante confronto dei valori hash prodotti dallo strumento di acquisizione. La verifica non ha evidenziato discrepanze.

Montare un’immagine solo in lettura

sudo losetup --read-only --find --show MQ-2026-0043-R01.dd
sudo partprobe /dev/loop0
lsblk
sudo mount -o ro /dev/loop0p1 /mnt/forensic_image
sudo umount /mnt/forensic_image
sudo losetup -d /dev/loop0

Quando possibile, preferisci Autopsy, X-Ways Forensics, FTK Imager o altri strumenti che consentano gestione forense dell’immagine.

Uso preliminare di X-Ways Forensics

1. Creare nuovo caso.
2. Impostare cartella caso.
3. Aggiungere evidence object.
4. Selezionare immagine forense.
5. Verificare hash immagine, se disponibile.
6. Creare volume snapshot.
7. Non modificare evidenza.
8. Usare filtri e preview su copia.
9. Esportare report o liste file, se necessario.

L’immagine acquisita è stata aggiunta come evidence object in X-Ways Forensics per una verifica preliminare della leggibilità del file system e per successive attività di analisi su copia.

Verbale tecnico di copia forense

VERBALE TECNICO DI COPIA FORENSE

Caso:
Reperto:
Data:
Ora inizio:
Ora fine:
Luogo:
Tecnico:
Consegnante:
Supporto:
Marca:
Modello:
Seriale:
Capacità:
Interfaccia:
Stato fisico:
Write blocker:
Strumento acquisizione:
Versione strumento:
Formato immagine:
Percorso immagine:
Hash sorgente:
Hash immagine:
Verifica:
Errori:
Log:
Note:

Dichiarazione tecnica:
Il supporto indicato è stato acquisito con modalità documentata. Le successive attività di analisi saranno svolte sull’immagine forense o su copia di lavoro, preservando il supporto originale.

Casi pratici a Roma

Caso 1 — Hard disk esterno consegnato da un avvocato

Un avvocato di Roma consegna un hard disk esterno USB da 1 TB che conterrebbe documenti rilevanti in una controversia societaria. Il supporto viene fotografato, codificato come reperto, acquisito con FTK Imager in formato E01 e verificato tramite hash.

Caso 2 — SSD NVMe di notebook aziendale

Un’azienda romana chiede analisi tecnica su notebook usato da un dipendente. Prima di agire si documentano stato del computer, cifratura, possibilità di acquisizione live/logica, eventuale rimozione dell’SSD e limiti legati a TRIM e wear leveling.

Caso 3 — Pendrive USB

Una pendrive da 32 GB viene consegnata come possibile prova di sottrazione dati. Si esegue verbale, foto, codice reperto, collegamento con write blocker se disponibile, immagine DD/E01, hash e conservazione dell’originale.

Caso 4 — NAS aziendale

In una società romana si sospettano accessi non autorizzati a cartelle condivise su NAS. Si valuta acquisizione logica mirata di cartelle e log, esportazione permessi, snapshot e documentazione degli account usati.

Errori da evitare

• Confondere sorgente e destinazione.
• Collegare il disco senza write blocker e montarlo in scrittura.
• Inizializzare il disco in Windows.
• Fare solo copia file quando serve copia completa.
• Non salvare log.
• Non calcolare hash.
• Analizzare il supporto originale.
• Sottovalutare SSD, TRIM e cifratura.
• Smontare NAS senza piano.
• Non scrivere i limiti nel verbale.

Checklist completa copia forense

Figure da predisporre nella pagina

Frasi tecniche pronte per relazione

È stata eseguita copia forense completa del supporto digitale, con produzione di immagine in formato ________ e calcolo dei valori hash indicati nel report allegato.

Il supporto sorgente è stato collegato mediante write blocker hardware, al fine di prevenire scritture accidentali sul dispositivo originale.

Non essendo disponibile write blocker hardware, la circostanza viene espressamente annotata. Sono state adottate modalità operative volte a ridurre il rischio di scrittura sul supporto sorgente.

La natura SSD del supporto acquisito impone di considerare possibili effetti di TRIM, garbage collection, wear leveling e cifratura.

L’acquisizione è stata eseguita in modalità logica/mirata, limitatamente ai dati oggetto di incarico, e non costituisce immagine fisica integrale dell’intero apparato NAS.

Riferimenti tecnici esterni

1. ISO/IEC 27037 — identificazione, raccolta, acquisizione e preservazione delle prove digitali.
2. NIST SP 800-86 — raccolta, esame, analisi e presentazione.
3. SWGDE Best Practices for Computer Forensic Examinations — evidenza originale, write blocker e analisi su copia.
4. FTK Imager User Guide — imaging, hash e verifica.
5. Guymager — forensic imager per Linux.
6. dc3dd — hashing on-the-fly e log.
7. GNU dd manual — copia raw.
8. GNU ddrescue — acquisizione da supporti con errori.
9. X-Ways Quick Guide — verifica hash immagine e gestione evidenze.

Conclusione del capitolo

La copia forense è la base per analizzare computer, hard disk, SSD, pendrive e NAS. Prima di cercare file cancellati, log, cronologie, documenti o tracce di attività, bisogna creare una base tecnica solida: reperto identificato, supporto protetto, immagine acquisita, hash verificato, log conservati e verbale redatto.