IT forenzika · Linux

Forenzní analýza LVM – správné zařazení logických svazků

Logical Volume Manager (LVM) abstrahuje fyzická úložná média do flexibilních logických svazků a používá se k správě úložiště na mnoha zařízeních Linux Servern a Workstation. Skupiny svazků sdružují několik fyzických svazků, z nichž jsou vytvářeny logické svazky.

Nezávazná poptávka

Pro forenzní vyšetřování je zásadní správně rekonstruovat skutečné přiřazení mezi fyzickými datovými nosiči, skupinami svazků a logickými svazky ještě před zahájením samotné analýzy souborového systému. Chybné přiřazení může vést k neúplnému nebo nesprávnému vyhodnocení.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Rekonstruujeme strukturu LVM na základě metadat svazků a logických svazků, správně přiřadíme příslušná fyzická úložná média a připravíme logické svazky pro následnou analýzu souborového systému.

Typické oblasti použití

•Rekonstrukce složitých paměťových struktur typu Server
•Analýza systémů s více skupinami svazků
•Hodnocení snímků LVM a tenkého přidělování
•Příprava analýzy souborového systému na logických svazcích
•Reakce na incidenty v systémech Linux
•Soudní a mimosoudní posudky

Takto probíhá forenzní vyšetřování LVM

Po zálohování všech zapojených fyzických datových nosičů se nejprve vyhodnotí struktura metadat LVM, aby bylo možné správně rekonstruovat skupiny svazků a logické svazky. Následně se logické svazky připraví pro další analýzu souborového systému, aniž by došlo ke změně původního obrazu.

Proč je analýza LVM relevantní z forenzního hlediska?

Mnoho systémů Linux-Server využívá LVM k flexibilní správě úložiště, díky čemuž mohou být data rozložena na více fyzických nosičů. Správná rekonstrukce struktury LVM je nezbytným předpokladem pro úplnou analýzu souborového systému.

Pokud nebude struktura LVM správně rekonstruována, mohou být při analýze některé části datového souboru přehlédnuty. Proto se před každým dalším vyšetřením pečlivě zkontroluje přiřazení svazků.

Často kladené otázky

Jaký je rozdíl mezi skupinou svazků a logickým svazkem?+
Skupina svazků sdružuje fyzická úložná média do úložného fondu, ze kterého jsou jednotlivé logické svazky poskytovány jako využitelné, flexibilně dimenzovatelné oddíly.
Může být logický svazek rozložen na více datových nosičů?+
Ano, logický svazek může využívat úložný prostor z více fyzických disků v rámci stejné skupiny svazků.
Co se stane, když v objemové skupině chybí datový nosič?+
Pokud chybí některý datový nosič, může být skupina svazků neúplná nebo ji nemusí být možné aktivovat. Technická diagnostika ukáže, zda a jaká data lze přesto obnovit.

🔗 Související témata

LanCologne – Forenzní analýza Linuxu v Kolíně nad Rýnem

Potřebujete profesionální forenzní vyšetřování v oblasti „forenzní analýzy LVM"? Společnost LanCologne vám pomůže se zajištěním digitálních důkazů splňujících soudní požadavky i s transparentním vyhodnocením relevantních artefaktů systému Linux.

Kontaktujte nás hned teď