Verifica di un sospetto
Un comportamento anomalo, un’allerta, un’e-mail sospetta? Analisi rapida per stabilirlo: incidente reale o falso positivo. Lo sapete in giorni, non in settimane.
Lo studio · Analisi e indagini
Analizzare le tracce disponibili e stabilire cosa permettono di concludere.
Un dubbio, un’allerta, un incidente: prima di decidere bisogna stabilire i fatti. Galyct conduce tre tipi di indagine, dal semplice controllo alla prova utilizzabile in giudizio. Lo scopo non è mai sommergere di tecnica: è illuminare la vostra decisione.
Primo colloquio riservato, senza impegno. Non cancellate nulla prima di parlarci.
01 · TRE LIVELLI DI INDAGINE
Dal semplice controllo alla prova utilizzabile.
Non tutte le situazioni richiedono la stessa profondità di analisi. Tre livelli, a seconda che vogliate sciogliere un dubbio, comprendere un attacco accertato o costituire un fascicolo che regga davanti a un terzo.
Analisi di compromissione
L’incidente è accertato. Ricostruiamo il percorso dell’attaccante: punto d’ingresso, movimenti, dati colpiti, meccanismi di persistenza. È la base della remediation e delle notifiche obbligatorie (ANSSI, CNIL 72 h).
Forensic probatorio
Raccogliere e conservare la prova digitale a regola d’arte, per la banca, l’assicuratore, l’avvocato o la giustizia. Catena di custodia documentata, restituzione comprensibile anche per chi non è tecnico.
02 · LE DOMANDE A CUI RISPONDIAMO
Un’indagine parte da una domanda, non da uno strumento.
Ecco quelle a cui rispondiamo più spesso: cosa esaminiamo, cosa il risultato permette di affermare e cosa non permette.
Da dove viene davvero questo messaggio?
Intestazioni tecniche, percorso di instradamento, autenticazione (SPF, DKIM, DMARC), dominio mittente. Stabiliamo se un’e-mail o un SMS è stato falsificato, senza sempre poter nominare il mittente reale.
Questo account è stato compromesso, e fino a che punto?
Accessi, dispositivi, regole di inoltro, applicazioni autorizzate, metodi di recupero. Stabiliamo l’estensione dell’accesso e ciò che ha potuto essere visto o modificato.
Questo accesso è legittimo?
Indirizzo, dispositivo, orario, geolocalizzazione approssimativa, storico. Distinguiamo un accesso abituale da un accesso anomalo, senza certezza sull’identità dietro l’indirizzo.
Questo sito o questo dominio è fraudolento?
Data di creazione, hosting provider, certificato, somiglianza con un marchio, segnalazioni. Qualifichiamo il rischio di un dominio e il suo probabile modus operandi.
Questo dispositivo è compromesso?
Applicazioni installate, autorizzazioni, connessioni in uscita, meccanismi di persistenza, aggiornamenti. Separiamo i sintomi innocui dai segni reali di compromissione.
Cosa è successo, e in quale ordine?
Log, notifiche, marcature temporali, correlazione tra eventi. Ricostruiamo una cronologia che distingue i fatti accertati dalle ipotesi.
03 · CIÒ CHE CONTA
Ciò che distrugge la prova, ciò che la conserva
La prova digitale è fragile: una volta sovrascritta, non torna più. Distinguere i gesti che la cancellano dagli elementi che restano utilizzabili come prova cambia l’esito di un caso.
Ciò che distrugge la prova
I riflessi che cancellano tutto
Queste azioni, compiute in buona fede, rendono a volte un caso indifendibile.
- Reinstallare un sistema o «ripulire» un dispositivo
- Cancellare messaggi, log o cronologie
- Continuare a usare un account compromesso
- Modificare o spostare i file originali
Ciò che può servire da prova
Gli elementi da preservare
Raccolti e conservati correttamente, mantengono la loro forza nel tempo.
- Log degli accessi e indirizzi tecnici
- Intestazioni delle e-mail e messaggi originali
- Screenshot con data e ora
- Estratti delle operazioni e tracce di accesso
Un incidente si è appena verificato? Non toccate più nulla.
Reinstallare, cancellare, «ripartire da zero»: i riflessi più naturali sono spesso quelli che distruggono ciò che avrebbe potuto proteggervi. Non cancellate nulla, non reinstallate nulla, e fate qualificare la situazione: mettiamo al sicuro ciò che può ancora esserlo.
04 · I DOCUMENTI CONSEGNATI
Cosa ricevete alla fine.
Un’indagine vale solo per ciò che vi permette di decidere. I nostri documenti separano sempre ciò che è constatato da ciò che è supposto, in conformità con la dottrina del CODEX.
Rapporto di analisi fattuale
Constatato vs supposto, in conformità con il CODEX. Una cronologia dell’attacco, senza conclusioni che i fatti non sostengono.
Portata dell’incidente
L’elenco dei sistemi e dei dati colpiti, e raccomandazioni con priorità per la remediation e le notifiche obbligatorie.
Parte probatoria
Quando il fascicolo deve reggere di fronte a un terzo: sigilli digitali e attestazione di raccolta, con una catena di custodia documentata.
05 · LA NOSTRA ONESTÀ
Ciò che stabiliamo, e ciò che non promettiamo.
L’indagine accerta i fatti con rigore. Non riscrive ciò che è già stato sovrascritto, e non indica un colpevole senza prove. Preferiamo essere chiari fin dal primo colloquio.
Ciò che non promettiamo
Nessun risultato garantito
Una prova distrutta può esserlo in modo definitivo, e l’attribuzione resta una questione di prove.
- Non garantiamo il recupero di un dato già sovrascritto
- Non attribuiamo un attacco a un autore senza una prova che lo sostenga
- Non garantiamo l’esito di una pratica bancaria, assicurativa o giudiziaria
- Non promettiamo mai un risultato: ci impegniamo su un metodo
Ciò su cui ci impegniamo
Il metodo e la chiarezza
Ciò che dipende da noi, lo manteniamo.
- Preservare ciò che può ancora esserlo, senza alterare gli originali
- Documentare ogni fase: una catena di custodia tracciabile
- Separare il constatato dal supposto, senza conclusioni affrettate
- Stretta riservatezza: non vi chiediamo mai i vostri codici
Stabilire i fatti prima di agire
Decidere senza sapere significa rischiare di ripulire ciò che non si è capito, di notificare troppo presto o di accusare a torto. L’indagine dà alla vostra decisione la base che le manca: ciò che è realmente accaduto, e ciò che le tracce permettono (o non permettono) di affermare.
Un dubbio da sciogliere, fatti da stabilire?
Un primo colloquio con un esperto sulla vostra situazione, riservato, senza impegno e senza sollecitazioni commerciali. Preserviamo ciò che può ancora esserlo, poi ricostruiamo ciò che è successo.