Schermo PC Parrot Security modalità forense icone strumenti rete
Parrot Security, distribuzione Linux italiana, offre una modalità forense che blocca ogni scrittura sui dischi analizzati, preservando l'integrità delle prove digitali. Avviata da USB, trasforma il computer in una piattaforma per intercettare pacchetti di rete e identificare intrusioni in tempo reale, senza lasciare tracce. LEGGI TUTTO L'ARTICOLO.
🎧 Ascolta questo articolo
Bonus Video
La modalità forense e il blocco automatico delle scritture
Quando si avvia Parrot Security in modalità forense, il sistema carica un kernel modificato che intercetta ogni chiamata di sistema di scrittura e la reindirizza su un dispositivo nullo o su memoria volatile. Tutti i dischi collegati, inclusi quelli interni ed esterni, vengono montati automaticamente con opzione read-only, anche se contengono filesystem journaled come NTFS o ext4. Per i dispositivi SATA e NVMe, il kernel utilizza il parametro di avvio "libata.allow_tpm=0" e "block=1" per impedire qualsiasi modifica dei metadati. Inoltre, la RAM viene configurata come unico spazio scrivibile, in modo che ogni attività dell'investigatore, come l'esecuzione di un tool di analisi, avvenga esclusivamente in memoria volatile, senza mai toccare i supporti di prova. Questa protezione è essenziale per rispettare le procedure forensi e garantire l'ammissibilità delle prove in sede processuale.
Gli strumenti di analisi del traffico di rete e intrusion detection
Parrot Security integra una suite completa per l'analisi forense di rete. Wireshark, con la sua interfaccia grafica, consente di catturare e analizzare pacchetti in tempo reale, decodificando protocolli come TCP, HTTP, DNS e TLS. Per l'intrusion detection, Snort o Suricata, configurati con regole aggiornate, monitorano il traffico e generano allarmi quando rilevano firme di attacchi noti, come scansioni di porte, tentativi di SQL injection o comunicazioni con server di comando e controllo. L'investigatore può anche estrarre file trasmessi via HTTP, ricostruire sessioni VoIP e identificare esfiltrazioni di dati. Poichè tutto gira in un ambiente live isolato, anche se la rete sotto indagine fosse compromessa da malware, il sistema forense non può essere infettato, poichè ogni modifica viene cancellata al riavvio.
Il recupero dei log e l'analisi temporale degli eventi
Oltre alla rete, Parrot offre strumenti per l'analisi post-mortem dei log di sistema e dei file di configurazione. Programmi come Plaso e log2timeline creano una linea temporale unica che integra eventi provenienti da diverse fonti: log di Windows Event, syslog, cronologia del browser, metadati dei file. L'investigatore può così ricostruire esattamente la sequenza di azioni compiute da un intruso, individuando l'ora esatta di accesso, i file modificati e i comandi eseguiti. Questa timeline è esportabile in formato CSV e visualizzabile con interfacce grafiche, facilitando la stesura di relazioni tecniche per magistrati e avvocati.
L'uso di container e sandbox per l'analisi di malware
Una funzione avanzata di Parrot Security è la possibilità di eseguire campioni di malware in un ambiente sandboxizzato. Utilizzando Firejail o container Docker preconfigurati, l'analista può lanciare un eseguibile sospetto in un ambiente isolato, monitorandone il comportamento di rete e le chiamate di sistema senza rischi per il sistema host. Questo permette di identificare server di comando, chiavi di registro modificate e file creati, fornendo tutte le prove necessarie per un'indagine approfondita.
Strumento
Funzione nell'indagine forense
Modalità read-only kernel
Blocca ogni scrittura su disco, monta tutti i dispositivi in sola lettura, preservando l'integrità delle prove.
Wireshark
Cattura e analizza pacchetti di rete in tempo reale, decodifica protocolli e ricostruisce sessioni.
Snort/Suricata
Rilevamento intrusioni basato su regole, identifica scansioni, exploit e traffico malevolo noto.
Plaso/log2timeline
Crea timeline forense unificata da log, metadati e cronologia, ricostruendo la sequenza degli eventi.
Parrot Security in modalità forense è una camera sterile digitale: permette di sezionare una rete o un disco infetto senza contaminare le prove, fornendo agli investigatori uno strumento affidabile e gratuito per la ricerca della verità informatica.
