La chain of custody (catena di custodia) è la documentazione cronologica e ininterrotta che traccia ogni evidenza dal momento della raccolta fino alla presentazione, eventualmente in tribunale. Nel contesto di un SOC e dell’incident response, è ciò che trasforma un file di log o un’immagine disco in una prova difendibile: senza di essa, l’evidenza perde valore probatorio.
Chain of custody: preservare l’ammissibilità
Ogni passaggio di mano dell’evidenza deve rispondere a quattro domande: chi l’ha maneggiata, cosa è stato fatto, quando e dove. Ogni trasferimento va firmato e registrato. Un solo anello mancante — un intervallo temporale non documentato, un accesso senza firma — rompe la catena e rende l’evidenza potenzialmente inammissibile.
Ordine di volatilità e integrità (NIST SP 800-86)
La raccolta segue l’order of volatility: si acquisisce prima ciò che si perde più rapidamente. In ordine tipico:
- Registri e cache della CPU
- Tabella di routing, ARP cache, process table, statistiche del kernel
- Memoria (RAM)
- File system temporanei
- Disco / storage persistente
- Log remoti e dati di monitoring
- Configurazione fisica e topologia di rete
L’integrità si garantisce calcolando un hash (SHA-256, o storicamente MD5) al momento dell’acquisizione: qualsiasi modifica successiva altera il digest, dimostrando la manomissione. Per i supporti fisici si usa un write blocker, che consente la lettura impedendo scritture accidentali sull’originale. L’analisi si esegue su una copia forense bit-a-bit, mai sull’originale.
Etichettatura e documentazione
L’evidenza va sigillata ed etichettata con elementi minimi non ambigui:
| Elemento documentale | Scopo |
|---|---|
| Identificativo caso / evidence tag | Correlazione univoca all’incidente |
| Data e ora (con timezone) | Ricostruzione della timeline |
| Nome e firma di chi raccoglie | Responsabilità e tracciabilità |
| Descrizione e ubicazione del reperto | Contesto di raccolta |
| Hash value | Prova di integrità |
| Log dei trasferimenti | Continuità della catena |
Profiling: definire il “normale” per riconoscere l’anomalia
Il profiling stabilisce una baseline del comportamento atteso, così che le deviazioni (esfiltrazione, C2, lateral movement) risaltino.
Network profiling
Gli elementi chiave da caratterizzare sono:
- Total throughput — volume di traffico atteso nel tempo
- Session duration — durata tipica delle sessioni
- Ports used — porte e protocolli normalmente in uso
- Critical asset address space — lo spazio di indirizzamento degli asset critici
Un picco di throughput notturno verso un IP esterno, o sessioni anomale su porte non standard, tradiscono attività sospette.
Server profiling
Sul singolo host si profila:
- Listening ports — servizi in ascolto attesi
- Logged-in users / service accounts — account previsti
- Running processes e running tasks — processi e job schedulati legittimi
- Applications — software installato e approvato
Un processo sconosciuto o un service account che effettua login interattivi sono red flag immediate.
Compliance e data protection
I framework di conformità impongono controlli e obblighi di gestione dei dati:
| Framework | Ambito | Dati tutelati |
|---|---|---|
| PCI DSS | Pagamenti con carta | Cardholder data (PAN, CVV) |
| HIPAA | Sanità (USA) | PHI — Protected Health Information |
| SOX | Reporting finanziario società quotate | Integrità dati contabili e audit trail |
Tra i dati protetti in rete rientrano PII (dati personali identificativi), PHI (dati sanitari), i dati di pagamento e la intellectual property. La data protection combina cifratura, controllo accessi e classificazione, mentre la data retention definisce per quanto tempo conservare log ed evidenze: molti framework impongono minimi (es. PCI DSS richiede la conservazione dei log di audit per almeno un anno, con gli ultimi mesi immediatamente disponibili). Retention troppo breve viola la compliance; troppo lunga aumenta la superficie di rischio.
Trappole tipiche d’esame
- Scenario: un analista copia un file dal disco sospetto senza registrare chi/quando → Risposta: la catena di custodia è rotta e l’evidenza è inammissibile; serviva documentazione firmata di ogni passaggio.
- Scenario: si chiede quale evidenza raccogliere per prima tra RAM e immagine disco → Risposta: la RAM, per l’order of volatility (i dati volatili si perdono prima).
- Scenario: occorre dimostrare che l’evidenza non è stata alterata → Risposta: confrontare l’hash (SHA-256) calcolato alla raccolta con quello attuale.
- Scenario: individuare l’elemento di server profiling tra le opzioni → Risposta: le listening ports (session duration e throughput appartengono al network profiling).
- Scenario: dati sanitari trattati da un’organizzazione USA → Risposta: ricadono sotto HIPAA come PHI, non PCI DSS.