Digital Forensics

Analisi della cache

La cache di un browser è la parte di disco che contiene la copia locale delle pagine visitata sul web.

Se si utilizza un browser Internet Explorer la cache è conservata nella cartella

C:\Documents and Settings\%nomeutente%\Impostazioni locali\Temporary Internet Files

se il sistema operativo è in lingua italiana, oppure

C:\Documents and Settings\%username%\Local Settings\Temporary Internet Files

se il sistema operativo è in lingua inglese.

Una volta montata l'immagine dell'hard disk con Mount Image Pro, si può utilizzare il programma freeware IECacheView.

PASSI OPERATIVI

• Montare l'immagine utilizzando Mount Image Pro

• Avviare il programma IECacheView

• Selezionare la voce "Select Cache Folder" nel menu "File"

• Selezionare la cartella contenente la cache da analizzare

• A questo punto è possibile analizzare la cache ordinando i dati per nome del file, contenuto, URL,data di ultimo accesso, data di ultima modifica, data di scadenza, numero di visite, dimensione del file, percorso completo
• I file di interesse possono essere estratti dall'immagine utilizzando FTK Imager, che calcola anche l'hash di verifica del singolo file

 Analisi dei preferiti

L'analisi dei preferiti è utile per trovare indizi riguardo alle abitudini dell'utilizzatore del computer. 

I preferiti di Internet Explorer si trovano, solitamente, all'interno della cartella che contiene il profilo dell'utente. In particolare:

C:\Documents and Settings\%nomeutente%\Preferiti

se il sistema operativo è in lingua italiana, oppure

C:\Documents and Settings\%username%\Favorites

se il sistema operativo è in lingua inglese.

Una volta montata l'immagine dell'hard disk con Mount Image Pro, si può utilizzare il programma freeware Favorites View.

PASSI OPERATIVI

• Montare l'immagine utilizzando Mount Image Pro

• Avviare il programma Favorites View

• Selezionare la voce "Select Favorites File/Folder" nel menu "File"

• Selezionare la cartella contenente i preferiti da analizzare

• A questo punto è possibile analizzare i preferiti ordinando i dati per titolo, URL, data di creazione, data di ultima modifica, cartella e percorso completo
• I file di interesse possono essere estratti dall'immagine utilizzando FTK Imager, che calcola anche l'hash di verifica del singolo file