digital trace

Digital Forensics, Cyber Intelligence e cultura della prova digitale

Dott. Simone Bonifazi, consulente tecnico specializzato in Digital Forensics, Cyber Intelligence e investigazioni digitali, fondatore di GECKOS Digital Trace Analysis e socio fondatore e Presidente di LAB4INT Academy.

Il mio percorso professionale nasce dall’incontro tra tecnologia e diritto. Sono laureato magistrale in Giurisprudenza (LMG-01), ho conseguito un Master in Contrattualistica d’Impresa, sono Certified Data Protection Officer e Certified Cyber Analyst. Sono inoltre Lead Auditor qualificato per gli standard ISO/IEC 27001, relativo alla sicurezza delle informazioni, ISO/IEC 42001, dedicato ai sistemi di gestione dell’Intelligenza Artificiale, e ISO 37001, relativo ai sistemi di gestione per la prevenzione della corruzione, con formazione sulle tecniche di audit secondo UNI EN ISO 19011:2018 e UNI CEI EN ISO/IEC 17021-1:2015.

Sono iscritto presso il Ministero della Giustizia all’Albo dei Consulenti Tecnici d’Ufficio e all’Albo dei Periti del Tribunale di Padova per la specializzazione informatica. Nel corso di oltre vent’anni di attività ho operato come consulente tecnico nell’ambito di procedimenti civili e penali e collaborato con numerose Procure della Repubblica, comprese Direzioni Distrettuali Antimafia, oltre che con Polizia di Stato, Arma dei Carabinieri, Guardia di Finanza, Polizia Penitenziaria e Polizie Locali.

Questa esperienza ha progressivamente definito il mio modo di intendere la Digital Forensics: un dato digitale non diventa prova semplicemente perché è stato trovato. Deve essere acquisito correttamente, preservato, verificato e contestualizzato; il processo attraverso il quale viene analizzato deve essere documentabile, ripetibile e tecnicamente difendibile.

È da questa cultura della prova che si è sviluppato il mio interesse per la Cyber Intelligence, l’OSINT, la SIGINT, la Blockchain Intelligence e, più recentemente, per l’applicazione dell’Intelligenza Artificiale ai processi investigativi e di analisi.

Una storia iniziata con Linux

Il rapporto con l’informatica nasce però molto prima della Digital Forensics.

Alla fine degli anni Novanta Internet era profondamente diverso da quello attuale. La conoscenza tecnica proveniva soprattutto dai manuali, dalle riviste specializzate e dalla sperimentazione diretta. Non esisteva ancora l’enorme patrimonio di tutorial, forum, repository e documentazione online che oggi consideriamo normale: spesso si scopriva una nuova tecnologia leggendo poche pagine di una rivista informatica e si trascorrevano poi giorni, o settimane, cercando di comprenderla.

È in quel periodo che nasce il mio rapporto con GNU/Linux e con S.u.S.E., una delle distribuzioni che maggiormente hanno influenzato la mia formazione tecnica e che all’epoca acquistai direttamente oltreoceano.

Linux rappresentava qualcosa di più di un sistema operativo. Per utilizzarlo realmente era necessario comprenderlo. Configurare una periferica, una rete o un servizio significava leggere, sperimentare, sbagliare e ricominciare. Quell’approccio ha lasciato un’impronta profonda sul mio modo di lavorare: prima dello strumento viene la comprensione dello strumento.

Negli stessi anni seguii anche l’esperienza della comunità Mozilla, nata dopo la decisione di Netscape di rendere disponibile il codice della propria suite. All’interno di quell’ecosistema venne sviluppato Gecko, il motore di rendering che sarebbe diventato uno degli elementi tecnologici fondamentali del progetto Mozilla.

Il geco legato all’esperienza S.u.S.E., Gecko e la cultura open source di quegli anni contribuirono a costruire un’identità che il 25 maggio 2000 divenne realtà con la nascita di GECKOS.

A distanza di oltre venticinque anni, quello spirito è rimasto sostanzialmente immutato: studiare la tecnologia, comprenderla e utilizzarla per osservare ciò che normalmente rimane nascosto.

Da qui nasce anche il motto che oggi accompagna il nostro lavoro: Vide quae alii non vident.

Dalla Traccia Digitale alla Cyber Intelligence

Negli anni l’attività di GECKOS si è progressivamente specializzata nella Digital Trace Analysis, estendendo l’analisi dalla Computer e Mobile Forensics alla Network e Drone Forensics, all’analisi delle telecomunicazioni, all’OSINT, alla SIGINT e alla ricostruzione delle relazioni spazio-temporali prodotte dai dispositivi digitali.

La progressiva convergenza di queste discipline mi ha portato a considerare la Digital Forensics come parte di un processo analitico più ampio.

Un dispositivo non contiene soltanto file. Comunica con reti, genera log, produce metadati, interagisce con account, infrastrutture e altri dispositivi. Un indirizzo IP può essere contemporaneamente un dato di rete, un indicatore di compromissione e un elemento di intelligence. Una transazione blockchain può diventare parte di una ricostruzione investigativa. Un segnale radio può collocare nello spazio una presenza digitale.

Il problema dell’analista contemporaneo non è quindi soltanto trovare informazioni, ma correlarle e attribuire loro significato.

È questo il passaggio dalla Digital Forensics alla Cyber Intelligence: dal dato alla prova, dalla prova al contesto e dal contesto alla conoscenza necessaria per assumere una decisione.

Formazione, università e attività internazionale

La formazione costituisce oggi una parte fondamentale della mia attività professionale.

Sono professore a contratto presso ITS Academy, dove insegno materie relative alla Cybersecurity, Data Protection e Diritto d’Autore, cercando di trasferire agli studenti non soltanto competenze tecniche, ma soprattutto un metodo attraverso il quale affrontare tecnologie destinate inevitabilmente a cambiare.

La stessa filosofia caratterizza l’esperienza di LAB4INT, associazione della quale sono socio fondatore e Presidente e attraverso la quale negli anni abbiamo sviluppato attività formative specialistiche rivolte in particolare al mondo delle Forze dell’Ordine, delle Forze Armate e delle istituzioni.

L’attività didattica e professionale mi ha portato anche fuori dall’Europa, partecipando a missioni internazionali dedicate alla formazione specialistica di personale militare, ufficiali, investigatori, funzionari di istituti bacanri centrali e magistrati delle Procure penali.

Operare in questi contesti significa confrontarsi con organizzazioni, culture giuridiche e capacità tecnologiche differenti, ma soprattutto comprendere quanto alcuni principi siano universali. Che si analizzi un telefono, una rete, una blockchain o una fonte aperta, rimangono centrali il rigore del metodo, la verificabilità dell’informazione, la preservazione dell’evidenza e la responsabilità di chi conduce l’analisi.

È probabilmente questa una delle lezioni più importanti maturate durante le esperienze internazionali: gli strumenti possono essere differenti, ma il metodo investigativo rimane un linguaggio comune.

Blockchain, ricerca e valore probatorio

Un’area alla quale negli ultimi anni ho dedicato particolare attenzione è quella della Blockchain Forensics, dell’analisi delle criptovalute e del valore che le informazioni registrate su blockchain possono assumere all’interno di un procedimento giudiziario.

Il tema si colloca esattamente nel punto di incontro tra la mia formazione giuridica e quella informatica: non soltanto comprendere come ricostruire tecnicamente una transazione o seguire il movimento di un asset digitale, ma interrogarsi su quale valore probatorio possa assumere quella registrazione e attraverso quale metodologia possa essere utilizzata all’interno di un processo.

Da questo percorso di studio e ricerca nasce il libro “Il Valore Probatorio della Blockchain” (Amazon), dedicato al rapporto tra blockchain, criptovalute, analisi investigativa e prova digitale.

La blockchain non elimina la necessità dell’analista. Al contrario, richiede la capacità di distinguere ciò che il registro dimostra da ciò che può essere soltanto dedotto attraverso la correlazione con fonti esterne.

È una distinzione fondamentale perché, come spesso ricordo: La blockchain non dice la verità. Conserva il fatto.

Attribuire a quel fatto identità, significato e valore probatorio rimane compito dell’indagine e dell’analista.

GECKOS oggi

Oggi GECKOS rappresenta la sintesi di questo percorso: Digital Forensics, Cyber Intelligence, cybersecurity, diritto, formazione e ricerca applicata.

La stessa filosofia guida lo sviluppo di nuovi strumenti e di Geck.O.S., la Cyber Intelligence Workstation AI-native, nella quale Digital Forensics, OSINT, SIGINT, Blockchain Intelligence, analisi delle vulnerabilità e Intelligenza Artificiale vengono ricondotte a un unico ambiente metodologico.

L’Intelligenza Artificiale costituisce uno dei cambiamenti tecnologici più importanti che abbia incontrato dall’inizio della mia esperienza professionale. Offre capacità straordinarie di analisi e correlazione, ma non modifica un principio che considero essenziale.

L’AI può assistere l’analista, ma non può sostituirne il metodo, la capacità critica e la responsabilità.

AI assists. Human verifies. Human decides.

Dal primo Linux degli anni Novanta all’Intelligenza Artificiale, la tecnologia è cambiata radicalmente. La curiosità che porta a comprenderla e il rigore necessario per utilizzarla correttamente, invece, sono rimasti gli stessi. La tecnologia cambia, il metodo resta.

Rigore, verifica, contesto e responsabilità.