Posso spegnere il server colpito da un attacco?

Meglio di no, se c'è la possibilità che serva una prova. Lo spegnimento cancella la memoria volatile, dove si trovano i processi attivi, le connessioni di rete aperte e talvolta le chiavi di cifratura usate dall'attaccante, e quei dati non tornano più. La mossa corretta è isolare la macchina dalla rete lasciandola accesa, sospendendola se è una macchina virtuale, e chiedere a chi acquisisce come procedere. Se il rischio di propagazione è tale da imporre lo spegnimento, la decisione va presa consapevolmente e annotata con l'orario, non subita per abitudine.

Serve un perito forense per ogni incidente informatico?

No. Serve quando è ragionevole prevedere un contenzioso, una denuncia penale, una richiesta di indennizzo assicurativo o una notifica al Garante in cui bisogna dire con precisione quali dati sono usciti. Negli altri casi basta una gestione ordinata dell'incidente, purché nel frattempo non si distruggano gli elementi che servirebbero se lo scenario cambiasse. È per questo che le prime decisioni si prendono come se il perito dovesse arrivare: preservare costa poco, ricostruire dopo non è possibile.

Cos'è l'informatica forense e cosa si decide nella prima ora?

L'informatica forense è la disciplina che acquisisce, conserva e documenta i dati digitali perché reggano come prova.

L'informatica forense, in inglese digital forensics, è la disciplina che individua, acquisisce, conserva e documenta i dati digitali in modo che restino utilizzabili come prova davanti a un giudice, a un'autorità di controllo o a una compagnia assicurativa. La differenza rispetto a una normale analisi tecnica non sta negli strumenti ma nel metodo: si lavora su una copia bit a bit del supporto, si calcola un'impronta crittografica (hash) prima e dopo la copia per dimostrare che nulla è cambiato, e si tiene la catena di custodia, cioè il registro di chi ha avuto quel dato tra le mani, dove e in quale momento. Per chi guida un'azienda il punto pratico è uno solo: la prova digitale è fragile e si distrugge quasi sempre nelle prime ore, per mano di chi in buona fede sta cercando di rimettere in piedi i sistemi.

Cosa chiede la legge italiana a chi acquisisce

Il riferimento è la legge 18 marzo 2008 n. 48, che ha ratificato la Convenzione di Budapest sulla criminalità informatica e ha riscritto diversi articoli del codice di procedura penale. L'articolo 244 comma 2 consente all'autorità giudiziaria ogni operazione tecnica anche in relazione a sistemi informatici o telematici, ma solo adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l'alterazione. Lo stesso intervento ha inserito l'articolo 254-bis sul sequestro di dati presso i fornitori di servizi informatici, telematici e di telecomunicazioni, che ammette l'acquisizione mediante copia su adeguato supporto con una procedura che ne assicuri la conformità agli originali e l'immodificabilità, ordinando comunque al fornitore di conservare e proteggere i dati originali. Sono obblighi posti all'autorità giudiziaria, non all'azienda: una copia fatta male da un privato non è per questo inutilizzabile: è semplicemente contestabile, e il giudice la valuta liberamente insieme a tutto ciò che è servito a produrla. La distinzione non toglie però l'incentivo pratico a lavorare con lo stesso metodo: la parte avversa attacca comunque il modo in cui la copia è stata fatta, e la prova perde peso proprio quando serve. Sul come si fa in concreto la legge tace, e il vuoto lo riempiono gli standard: la ISO/IEC 27037:2012 su identificazione, raccolta, acquisizione e conservazione della prova digitale, e la NIST SP 800-86, che dal 2006 lega le tecniche forensi alla risposta agli incidenti.

Un esempio concreto

Uno studio di progettazione con sessanta persone trova il lunedì mattina i file di commessa cifrati. Il tecnico di fiducia fa quello che sembra ragionevole: spegne i server, reinstalla il sistema operativo e ripristina dal backup della settimana prima. Entro sera si lavora di nuovo, e la prova non esiste più. La memoria volatile, dove stavano i processi dell'attaccante e le connessioni aperte verso l'esterno, si è persa allo spegnimento; le tracce di esfiltrazione stavano sul disco che è stato sovrascritto; l'orario del primo accesso illecito era in registri che nessuno aveva spostato altrove. Tre settimane dopo servono tutte e tre: all'assicuratore per dimostrare la dinamica del sinistro, al Garante per la protezione dei dati personali per dire quali dati sono usciti, al legale per capire se l'ingresso è passato dal fornitore di teleassistenza.

Cosa decide chi comanda nella prima ora

Tre mosse istintive distruggono la prova: spegnere le macchine, ripristinare dal backup sopra i sistemi colpiti, e far dare un'occhiata al tecnico di fiducia con le credenziali di amministratore. A ciascuna corrisponde la mossa opposta: isolare senza spegnere, salvo che il contagio sia già in corso, ripristinare su hardware nuovo lasciando intatti gli originali, e congelare gli account privilegiati finché non arriva chi sa acquisire.

Sui sistemi in cloud se ne aggiunge una quarta, ed è la più frequente: cambiare la password e cancellare la regola di inoltro creata dall'attaccante, che è spesso l'unica traccia rimasta. Lì la prova non la distrugge nessuno, scade: i registri di audit hanno finestre di ritenzione brevi, quindi si esportano subito e si conservano fuori dalla piattaforma.

In parallelo si annotano gli orari e si mettono al sicuro i registri, che sono il presupposto materiale della prova e vanno preparati prima, come spiegato alla voce log management. Chi chiamare e con quali vincoli contrattuali è invece parte del piano di incident response, dove si trova anche il motivo per cui il primo numero da comporre è quello dell'assicuratore e non quello del perito. Vale per un ransomware come per il sospetto che un dipendente in uscita abbia portato via un archivio: la prova si perde con la stessa facilità. Quando l'ipotesi diventa concreta, l'attività va affidata a un consulente tecnico che lavori secondo la ISO/IEC 27037 e documenti ogni passaggio, coordinandosi con il legale, perché è quella documentazione a reggere il contraddittorio.

Questa voce è informativa e non costituisce consulenza legale: per l'acquisizione della prova digitale e per le conseguenze processuali coinvolgi un perito forense e il tuo legale.