Disco esterno in sola lettura: guida forense completa per proteggere i dati e preservare le evidenze

Guida tecnica e forense su come utilizzare un disco esterno in sola lettura: metodi hardware e software, rischi, best practice e procedure professionali per il recupero dati.

Introduzione

Nel contesto del recupero dati e delle analisi forensi, l’accesso a un disco deve avvenire senza alterarne lo stato originale. Anche una semplice operazione di sistema può modificare metadati critici, compromettere evidenze o rendere irrecuperabili porzioni di dati.

L’utilizzo della modalità sola lettura (read-only) è quindi una pratica fondamentale per garantire:

• integrità del supporto
• non alterazione delle evidenze digitali
• ripetibilità dell’analisi

---

Perché la sola lettura è fondamentale

In ambito forense, il principio è chiaro:
mai lavorare sul supporto originale in scrittura

Rischi reali:

• aggiornamento automatico della MFT (NTFS)
• scrittura del journal (USN, EXT journal, ecc.)
• modifica timestamp (MAC times)
• interventi automatici del sistema operativo (indexing, thumbnail, antivirus)

---

Metodo 1 – Write Blocker hardware (standard forense)

Si tratta di un dispositivo hardware che impedisce fisicamente qualsiasi scrittura verso il disco.

Vantaggi

• protezione reale (non bypassabile via software)
• standard accettato in ambito legale
• indispensabile per perizie

Svantaggi

• costo
• necessità di hardware dedicato

Considerazione critica

Se stai lavorando senza write blocker, non sei in un contesto forense puro.

---

Metodo 2 – Windows (DiskPart)

Limiti (importante)

• non blocca scritture a basso livello
• alcuni driver/software possono aggirarlo
• Windows può comunque scrivere metadata in certe condizioni

Procedura: utilizziamo il Prompt dei Comandi (cmd) in modalità Amministratore

La procedura può proteggere da scritture involontarie da parte degli utenti ma potrebbe essere disattivata da software di scrittura o formattazione a basso livello. Anche windows potrebbe utilizzare l’unità all’insaputa dell’utente.

Lista dei comandi da eseguire, sostituire la X con la lettera dell’unità da utilizzare in modalità lettura:

1. diskpart
2. list disk
3. select disk X
4. attributes disk set readonly
5. A questo punto verifichiamo se la modifica ha avuto successo: attributes disk

---

Metodo 3 – Linux (approccio più affidabile lato software)

Lista dei comandi da utilizzare con il terminale di linux (sostituire sdX1 con la sigla dell’unità da proteggere):

1. Montaggio in sola lettura: mount -o ro /dev/sdX1 /mnt/disco
2. Blocco dispositivo: hdparm -r1 /dev/sdX
3. Verifica: hdparm -r /dev/sdX

Vantaggi

• maggiore controllo rispetto a Windows
• ambiente più adatto ad analisi forense

Limiti

• comunque software → non assoluto
• attenzione a automount (disabilitare)

Metodo 4 – macOS

Lista dei comandi da utilizzare con il terminale (sostituire diskX con la sigla dell’unità da proteggere):

• Montaggio in sola lettura: diskutil mount readOnly /dev/diskX

Nota

macOS tende a essere meno “invasivo” di Windows, ma non è un ambiente forense puro.

---

Differenza critica: sola lettura logica vs fisica

Tipo	Livello	Affidabilità	Uso
Software	OS-level	Media	Analisi preliminare
Hardware	Physical	Alta	Forense / legale

---

Errori critici

• Collegare il disco direttamente a Windows
• Aprire il disco con Explorer → scrittura immediata
• Lanciare CHKDSK automaticamente
• Usare software recovery sul disco originale
• Non isolare il sistema (rete attiva → possibili scritture)

👉 Anche un accesso “in lettura” da GUI può generare scritture invisibili.

---

Procedura forense corretta

1. Collegamento tramite write blocker
2. Identificazione dispositivo (hash iniziale se possibile)
3. Creazione immagine forense:
   • RAW (dd)
   • E01 (EnCase format)
4. Verifica hash (MD5/SHA256)
5. Analisi SOLO sull’immagine
6. Conservazione originale intatto

---

Caso reale

In molti casi di recupero dati:

• un disco viene collegato a Windows
• il sistema aggiorna automaticamente la struttura NTFS
• file parzialmente recuperabili diventano irrecuperabili

Questo accade spesso su:

• dischi con settori instabili
• file system corrotti
• RAID degradati

---

Conclusione

La modalità sola lettura non è un’opzione, ma una necessità operativa.

Sintesi:

• Software → utile ma non sicuro
• Hardware → unico approccio realmente forense

Se l’obiettivo è preservare dati o evidenze:
qualsiasi scrittura, anche minima, è un rischio concreto

---

Approfondimenti

• Analisi digitale forense di una foto
• Cos’è un hash e perché è fondamentale nella sicurezza informatica
• Verifica dei Siti di Trading e Criptovalute
• Protocollo Trasparenza Digitale