IT-kriminalteknik · Linux

Forensisk gendannelse af slettede filer på ext4 – muligheder og begrænsninger ved rekonstruktionen

Når man sletter en fil på et ext4-system, fjernes der som regel først kun den tilhørende mappeindgang og inode-henvisning, mens de egentlige datablokke kan forblive intakte, indtil de overskrives. Dette åbner i princippet muligheder for retsmedicinsk rekonstruktion.

Uforpligtende forespørgsel

De faktiske chancer for succes afhænger dog af en række faktorer, herunder den tid, der er gået siden sletningen, systemets skriveaktivitet, journal-tilstanden samt eventuel brug af SSD-TRIM.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi analyserer inode-rester, journalposter og datablokke, der ikke er blevet overskrevet, for at rekonstruere slettede filer så vidt det er teknisk muligt, og dokumenterer samtidig på en gennemsigtig måde de eksisterende begrænsninger.

Typiske anvendelsesområder

•Gendannelse af virksomhedsdata, der er blevet slettet ved en fejltagelse
•Undersøgelse af målrettede slukningsforsøg forud for sikring af bevismateriale
•Gendannelse af slettede log- og konfigurationsfiler
•Støtte til undersøgelser i forbindelse med hændelseshåndtering
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår gendannelsen af slettede ext4-filer

Efter sikkerhedskopieringen kontrolleres det først, om der stadig findes relevante rester af inoder og journaler. Derefter identificeres de datablokke, der ikke er blevet overskrevet, og tilknyttes, så vidt muligt, de oprindelige filer. Resultaterne vurderes altid i sammenhæng med SSD-TRIM, journalkonfigurationen og den forløbne tid.

Hvorfor er gendannelsen relevant i forbindelse med retsmedicin?

Slettede filer kan indeholde afgørende bevismateriale, især hvis sletningen er foretaget med det formål at skjule noget. Gendannelsen af disse filer er derfor en central del af mange retsmedicinske undersøgelser.

Ingen kan med god grund love succes, før datamediet er blevet undersøgt teknisk. Især på SSD’er med aktiv TRIM kan slettet indhold allerede efter kort tid være uigenkaldeligt tabt.

Ofte stillede spørgsmål

Kan slettede filer på ext4 altid gendannes?+
Nej. Mulighederne afhænger af journalens konfiguration, skriveaktiviteten, SSD-TRIM og den tid, der er gået siden sletningen.
Hvad sker der rent teknisk, når man sletter en fil på ext4?+
Som regel fjernes først mappeindgangen og inode-henvisningen, mens datablokkene kan bevares, indtil de overskrives.
Mindsker SSD-TRIM chancerne for succes?+
Ja, TRIM kan medføre, at datablokke, der er markeret som slettede, hurtigt bliver fysisk ryddet, hvilket gør det vanskeligere eller umuligt at gendanne dem.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsteknisk undersøgelse af „retsteknisk gendannelse af slettede filer på ext4"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en sporbar analyse af relevante Linux-artefakter.

Kontakt os nu