'''IRItaly CD''' è lo strumento creato da ''IRItaly'' e ''DFlabs'' per la first response, ovvero per effettuare una prima indagine forense in risposta all'incidente informatico. Ciò che dunque consente di fare questa suite di strumenti di indagine non è solo una ''Live System Analysis'' (''LSA'') sul sistema compromesso, ma dà anche la possibilità di recuperare dati, creare immagini forensi, valutare le vulnerabilità del sistema e documentare con metodo ognuna di queste operazioni.

Gli ''IRItaly CD'' sono sistemi operativi live basati sulla distribuzione Linux [@Gentoo@], scelta per la sua versatilità e semplicità di aggiornamento. La maggior parte dei tool messi a disposizione dell'utente sono eseguibili da linea di comando per motivi di compatibilità e funzionalità, ma viene data la possibilità di utilizzare anche un'interfaccia grafica. Quest'ultima fa uso del windows manager [@Enlightenment@], essenziale ma leggero e quindi particolarmente indicato perché richiede basse prestazioni e si dimostra meno invasivo; notare che anch'esso è attivato da linea di comando scrivendo [@startx@].\\
Menzione particolare va fatta anche sull'utilizzo di ''binari statici'' trusted e compilati direttamente dal supporto CD, così da evitare il rischio di utilizzare file di sistema compromessi (ad esempio da un rootkit) che restituiscano risultati falsati delle indagini. Inoltre il fatto che siano statici permette di verificarne l'integrità dopo il download, confrontando il valore di hash dichiarato con quello del file di cui si è effettivamente in possesso. Se non vi è corrispondenza allora o l'hash documentato non è aggiornato o è avvenuta una compromissione in locale (eventualità molto rara) o direttamente alla fonte sul server. Lasciamo immaginare cosa significhi utilizzare uno strumento di indagine forense compromesso, dunque quanto sia importante la validazione dei toolkit.

Esistono tre versioni dei cd live di IRItaly, ognuna della quali si pone un preciso obiettivo e si colloca in una specifica area di competenza: ''IRItaly Live CD Base'', ''IRItaly Live CD Media'' e ''IRItaly Live CD Network''. Sono rilasciate sotto licenza GNU e sono liberamente scaricabili a questo indirizzo: http://www.iritaly-livecd.org/Versione3.htm .

Questa modalità di analisi è decisamente più invasiva di quella convenzionale, basti pensare che la sua semplice esecuzione altera inevitabilmente lo stato del sistema (generalmente a livello di RAM); va dunque effettuata con piena consapevolezza e molta cautela, documentando quanto più possibile tutte le modifiche apportate alla macchina. In questo senso si sono mossi anche gli sviluppatori di IRItaly CD, dato che l'interfaccia Win32 non si apre automaticamente con l'inserimento del CD.

* ''sleuthkit'' e la sua interfaccia ''autopsy'' per l'indagine forense. Il motivo per cui non si usa ''PTK'' come interfaccia è che questo fa uso di database e quindi non può girare da CD
* ''foremost'' per il data carving, ovvero per il recupero selettivo di dati presenti su supporti indefiniti (come ad esempio quelli non ancora allocati). Il recupero selettivo può basarsi sull'estensione dei file, su informazioni incrociate prese da header e footer del file stesso, su firme nel codice, ecc.
* ''outguess'' per l'analisi steganografica

* ''rkhunter'' e ''chkrootkit'' per la ricerca dei rootkit di prima generazione (di complessità non troppo avanzata)
* ''f-spot'' e ''clamav'' come software antivirus

* ''full content'', che memorizza tutte le informazioni scambiate tra mittente e ricevente durante la comunicazione. Il vantaggio di tale approccio è che è possibile effettuare analisi offline anche molto granulari, a fronte però di tempi di acquisizione molto lunghi ed un pesante impatto sulle performance del calcolatore (soprattutto in termini di spazio necessario). Lo strumento più utilizzato per questo genere di cattura è ''tcpdump''

* ''statistica'', che effettua e registra delle statistiche sulla rete, come ad esempio il grado di utilizzo, i protocolli usati, le porte coinvolte, e così via; i risultati prodotti permettono di stabilire delle priorità di intervento. Tra gli strumenti che svolgono questo tipo di attività è considerato molto valido ''argus''

Per quanto riguarda l'analisi lo strumento più diffuso è ''Ethereal'', che permette sia di analizzare offline le sessioni già registrare che scansionare il traffico in tempo reale.

Quella di IRItaly non è ovviamente l'unica distribuzione di live CD per la first response, ma ne esistono moltissime altre. Vediamone alcune:

* '''Helix''', che ha rivoluzionato l'interfaccia grafica di questo genere di strumenti e che attualmente rappresenta lo stato dell'arte.