Paolo Reale: ICT & Digital Forensics Consulting

ICT & Digital Forensics Consulting

Blog&Articoli

L’Analisi forense dei ‘Punti di Ripristino’ (Restore Points) – parte prima –

Cosa sono i “Punti di Ripristino”

Il “Ripristino Configurazione di Sistema” apparve inizialmente in Windows ME, e fu successivamente affinato in Microsoft Windows XP Home e Professional. Il processo è pensato per fornire all’utilizzatore, successivamente ad un crash o un blocco del sistema, la possibilità di ripristinare il sistema stesso ad una configurazione precedentemente funzionante.

L’idea su cui si basa il servizio è che se un computer sino a ‘ieri’ ha funzionato correttamente e oggi non funziona più, riportandolo nella situazione di ‘ieri’ dovrebbe tornare a funzionare (escludendo naturalmente problemi hardware).

Il servizio di “Ripristino di Sistema” o System Restore, pertanto, tiene traccia costantemente delle modifiche apportate al sistema e a vari file applicativi, memorizzando, in maniera invisibile all’utente, una sequenza di “Punti di Ripristino” (Restore Point), ciascuno dei quali contiene la fotografia di un certo numero di file del sistema operativo e dell’utente (idealmente2) all’istante in cui il Punto di Ripristino è stato creato. Tali “fotografie” possono poi essere eventualmente utilizzate per ripristinare il sistema alla situazione immediatamente antecedente la creazione del punto di ripristino stesso.

Per quanto il servizio sia in qualche modo configurabile dall’utente esperto, le competenze necessarie per farlo esulano da quelle della maggioranza degli utenti che pertanto lasciano inalterato il suo funzionamento come predisposto in fabbrica dal produttore del software (Microsoft). Nel seguito ci si riferirà a tale modalità di funzionamento con termini quali “normalmente” o “tipicamente”.

Nella pratica, quando il servizio è attivo su un computer, ad ogni istante è presente su ciascun disco fisso collegato alla macchina un Punto di Ripristino “corrente” nel quale vengono progressivamente salvate copie di alcuni file (selezionate secondo opportuni criteri) prima di una loro eventuale cancellazione/modifica. Al momento della creazione del Punto di Ripristino successivo, il Punto di Ripristino corrente viene “congelato” nella situazione in cui si trova e rimane a disposizione dell’utente (per un certo periodo).

Il processo di creazione dei Punti di Ripristino è normalmente avviato automaticamente, e viene attivato dagli eventi seguenti:

  • Avvio iniziale di Windows XP
  • Ogni 24 ore di tempo di accensione
  • Prima dell’installazione di un programma
  • Prima di un aggiornamento automatico
  • Prima di un ripristino di un “Punto di Ripristino”
  • Prima dell’installazione di un driver senza firma digitale
  • Prima del ripristino dei dati di backup mediante il “Backup tool”
  • Creazione Manuale

Esiste un’interfaccia utente grafica per la creazione e la gestione dei punti di ripristino. Su Windows XP in Italiano, si può trovare nel menu “Avvio/Programmi/Accessori/Utilità di Sistema/Ripristino configurazione di sistema”.

Fine della prima parte – continua –

 

 

Blog, computer forensics