Topic: Esperti di pc...come fanno? (indagini)

Hai fatto una domanda molto interessante! Io ti dico quello che so, ma non prenderlo come oro colato perchè le effettive procedure le sanno solo gli addetti ai lavori.

Pensiamo alle esigenze della polizia: vogliono sapere quando il pc è stato acceso, cosa ha fatto l'interessato in quel periodo. Conta che non esiste nessun registro che, nè in windows nè tantomeno in linux o mac, registri tutto ciò che facciamo. Ci sono dei software che lo fanno e si chiamano keylogger ma devono essere installati di proposito.
Ora chiediamoci come fanno i poliziotti a capire cosa ha fatto l'indagato senza avere un registro?
Ci possono essere molti modi. Innanzi tutto hanno la priorità di vedere tutto ciò che si ricorda l'hard disk quindi usano software che vanno a scavare nei cluster per trovare file o parti di file eventualmente cancellati (esistono anche software free ovviamente meno efficaci che lo fanno come Recuva della piriform).
Una volta che hanno preso tutti i file non fanno altro che metterli in ordine di data creazione e poi data ultima modifica...e creare una specie di cronologia...se tu prendessi tutti i file del tuo computer e li mettessi in un unica cartella in ordine di data scopriresti molte cose, poi se non si è propriamente esperti e quindi non si cancellano i temporanei e i file .pf anche gente come noi potrebbe scoprire vita, morte e miracoli di una persona.

Ovviamente queste elaborazioni (come il recupero dei files) sono molto lunghe e anche i cotrolli che vengono effettuati sono lunghissimi. Pensa al delitto garlasco(mi sembra) hanno trovato un file nel computer che dava l'alibi al principale indiziato dopo che sono passati mesi e mesi dal fatto...

Un altro controllo che si può fare...anche questo non corto...è quello di chiedere al provider internet tutti gli spostamenti dell'ip del soggetto. Anche questa non è una ricerca facile in mezzo ai milioni di ip disponibili, poi se è veramente un criminale potrebbe aver usato dei proxy quindi bisognerebbe interpellare anche i proprietari del server che danno il servizio proxy...

Tutto questo per fare una cronostoria, se non ci sono files e il registro eventi non segna nulla si dà per scontato che il pc sia spento anche se in realtà potrebbe non essere vero...

Tutto quello che so te lo detto...non mi sembra di aver dimenticato nulla spero di aver in parte saziato la tua curiosità anche se come ti dicevo non ne so moltissimo...