Preservare la provenienza, non solo uno screenshot
Un utile record di prova identifica l'artefatto originale, il raccoglitore, il metodo di raccolta, la fonte dei dati e l'ora UTC. Conservare le risposte grezze così come l'interpretazione leggibile dall'uomo. Uno screenshot può documentare l'aspetto, ma non sostituisce le intestazioni dei messaggi, le risposte DNS o gli artefatti di risposta.
I registri pubblici cambiano. Una ricerca successiva può differire dai dati disponibili al momento di un incidente. Registrare esplicitamente l'ora dell'osservazione ed evitare di implicare che una risposta DNS attuale descriva condizioni storiche.
Integrità e gestione
Calcolare gli hash crittografici per i file conservati e mantenere i valori degli hash in un registro delle prove controllato. Un hash aiuta a rilevare le modifiche a un artefatto; non prova che il contenuto originale fosse accurato o che il raccoglitore abbia seguito la procedura corretta.
Mantenere un registro della catena di custodia che descriva il possesso, i trasferimenti, l'accesso e lo scopo. Applicare controlli di accesso, regole di conservazione e minimizzazione dei dati appropriati all'indagine. L'ammissibilità legale dipende dalla giurisdizione e dalle circostanze, non solo dal formato di un rapporto.
Fatti, inferenza e limitazioni
Separare chiaramente le osservazioni grezze, l'interpretazione analitica e le domande irrisolte. Evitare di nominare un operatore basandosi unicamente su un registrar, un indirizzo di hosting condiviso o un proxy di privacy. Rendere ogni conclusione materiale riconducibile a prove a sostegno.
- Salva gli artefatti originali e le risposte raw di lookup.
- Registra fonte, metodo, ora di raccolta UTC e raccoglitore.
- File conservati tramite hash ed eventi di gestione dei log.
- Etichettare fatti, ipotesi e campi non disponibili separatamente.
- Indicare i limiti di raccolta dello stato e chiedere consulenza legale dove necessario.