Come analizzare un file per riconoscerne il contenuto

Analisi forense di un file: MIME type, entropia, hash e visualizzazione HEX/ASCII

Questa utility analizza in dettaglio un file e ne restituisce un profilo tecnico completo: calcola l'entropia, identifica il MIME type con l'RFC di riferimento, determina gli hash SHA-256, SHA-512, SHA3-512, MD5 e SSDEEP e mostra i primi 512 byte in formato HEX e ASCII. Include anche un grafico interattivo della distribuzione dei byte per analizzarne visivamente struttura e composizione.

Come leggere l'output dell'analisi

Nella tabella dei risultati, accanto alle voci principali, trovi l'icona ⓘ con una spiegazione sintetica. In breve: l'entropia indica quanto sono "casuali" i byte (i file compressi o cifrati hanno entropia alta); gli hash crittografici identificano il file in modo univoco e ne verificano l'integrità; l'hash SSDEEP serve invece a trovare file simili. Qui sotto trovi l'approfondimento su ciascuna voce.

Cos'è l'entropia di un file?

L'entropia di un file è una misura matematica (entropia di Shannon, su scala da 0 a 8) che quantifica il grado di disordine o casualità dei byte contenuti nel file. Si riferisce alla variabilità o all'impredicibilità dei dati e viene usata per valutare la compressibilità di un file o la sua potenziale cifratura. Un file con entropia alta contiene dati apparentemente casuali e non ripetitivi — quindi poco comprimibili — mentre un file con bassa entropia contiene dati ordinati o ripetitivi, come il testo non compresso. In sicurezza informatica un'entropia elevata può suggerire la presenza di dati cifrati o di un payload malevolo compresso.

Come riferimento pratico: valori di entropia molto vicini al massimo teorico — indicativamente oltre 7,9 su 8 — indicano un file compresso o crittografato; valori bassi indicano contenuti ordinati e facilmente comprimibili.

Cosa sono gli hash crittografici (SHA-256, SHA-512, SHA3, MD5)?

Un hash crittografico è un'impronta digitale univoca del file: a qualsiasi modifica, anche di un solo byte, corrisponde un hash completamente diverso. Due file con lo stesso SHA-256 sono identici bit per bit, perciò gli hash servono a verificare l'integrità e l'identità di un file e a dimostrarne la non-alterazione. SHA-256 e SHA-512 appartengono alla famiglia SHA-2; SHA3-512 alla più recente SHA-3 (Keccak), basata su una costruzione diversa e indipendente. MD5 è invece crittograficamente obsoleto (esistono collisioni note): utile per confronti rapidi, ma da non usare come unica prova di integrità in ambito forense.

Cos'è l'hash SSDEEP (fuzzy hashing)?

L'hash SSDEEP è un fuzzy hash (context-triggered piecewise hashing): a differenza degli hash crittografici, resta simile quando il file cambia di poco. Confrontando due valori SSDEEP si ottiene un punteggio di somiglianza da 0 a 100, utile per individuare varianti, versioni successive o file affini — ad esempio documenti modificati o campioni di malware appartenenti alla stessa famiglia.

Cosa sono gli RFC (Request for Comments)?

Gli RFC (Request for Comments) sono documenti tecnici che descrivono, specificano e standardizzano protocolli Internet, procedure e concetti relativi alla rete. Nati come note interne dei ricercatori di ARPANET negli anni '60, sono diventati il mezzo ufficiale per la pubblicazione degli standard Internet e di protocolli come TCP/IP, HTTP e SMTP. A ogni RFC è assegnato un numero univoco e, una volta pubblicato, non viene modificato: eventuali revisioni diventano nuovi RFC. Sono curati dall'Internet Engineering Task Force (IETF) e dall'Internet Society (ISOC). In questa analisi, l'RFC associato al MIME type rilevato indica il documento che ne definisce ufficialmente il formato.