IT-kriminalteknik · Linux

Forensisk analyse af partitionstabeller (GPT/MBR) under Linux – Rekonstruktion af den grundlæggende disk-struktur

GPT og det ældre MBR-skema definerer, hvordan et datamedie er opdelt i partitioner. Under Linux forekommer begge skemaer afhængigt af systemets alder, hardware og opstartsmetode (BIOS eller UEFI).

Uforpligtende forespørgsel

En beskadiget eller bevidst ændret partitionstabel kan medføre, at partitioner tilsyneladende mangler, selvom de underliggende data fysisk stadig findes. Den retsmedicinske rekonstruktion forudsætter derfor en omhyggelig lavniveauanalyse.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi analyserer den eksisterende partitionstabel, rekonstruerer den oprindelige partitionsstruktur ved hjælp af filsystemsignaturer, hvis den er beskadiget, og sikrer, at ingen partitioner overses i den videre analyse.

Typiske anvendelsesområder

•Rekonstruktion af beskadigede partitionsstrukturer
•Undersøgelse efter målrettet manipulation af partitionstabellen
•Find skjulte eller ikke-monterede partitioner
•Forberedelse af filsystemanalysen på komplekse datamedier
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår analysen af en partitionstabel

Når den komplette råafbildning er sikkerhedskopieret, kontrolleres det først, om der foreligger en gyldig GPT- eller MBR-struktur. Hvis strukturen er beskadiget, gennemsøges datamediet systematisk for eksisterende partitioner ved hjælp af kendte filsystemsignaturer for at rekonstruere den oprindelige struktur.

Hvorfor er analysen af partitionstabellen relevant i forbindelse med retsmedicinske undersøgelser?

En ufuldstændigt identificeret partitionsstruktur kan medføre, at relevante dataområder overses fuldstændigt under undersøgelsen. En korrekt rekonstruktion er derfor et nødvendigt første skridt i enhver analyse af et datamedie.

Hvis der er mistanke om målrettet manipulation af partitionstabellen, f.eks. med henblik på at skjule data, dokumenteres analysen særdeles omhyggeligt for at kunne underbygge senere konklusioner på en gennemsigtig måde.

Ofte stillede spørgsmål

Hvad er forskellen mellem GPT og MBR?+
MBR er det ældre partitionsskema med begrænsninger i antallet af partitioner og volumenstørrelsen, mens GPT er den mere moderne efterfølger med betydeligt højere grænser og yderligere redundans.
Kan en beskadiget partitionstabel gendannes?+
I mange tilfælde ja, ved hjælp af filsystemsignaturer og kendte strukturelle kendetegn. Om det lykkes, afhænger af omfanget af skaden.
Kan partitioner skjules bevidst?+
Ja, ved at manipulere partitionstabellen kan partitioner skjules for operativsystemet, selvom dataene fysisk set stadig findes.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsmedicinsk undersøgelse af „retsmedicinsk analyse af partitionstabeller (GPT/MBR) under Linux"? LanCologne hjælper dig med at foretage en retsgyldig sikkerhedskopiering af digitale bevismidler samt en sporbar analyse af relevante Linux-artefakter.

Kontakt os nu