IT-kriminalteknik · Linux
Netzwerkspeicher (SAN) mit Linux forensisch sichern
Storage-Area-Network-Umgebungen, an die Linux-Server über spezialisierte Netzwerkprotokolle angebunden sind, stellen aufgrund ihrer verteilten, mehrschichtigen Architektur besondere Anforderungen an die forensische Sicherung.
På Linux-systemer er dette punkt særligt vigtigt, da distributioner, kerneversioner, hukommelsesarkitekturer og sikkerhedsmekanismer kan variere betydeligt. En klassisk Debian-Server, en containeriseret Kubernetes-node og et indlejret system må ikke behandles efter det samme tekniske skema. Filsystem, kryptering, kørselsmiljø og den aktuelle systemtilstand bestemmer, hvilke data der er tilgængelige, og hvilken sikkerhedsmetode der medfører færrest ændringer.
Häufig ist eine enge Abstimmung mit den Verantwortlichen der Speicherinfrastruktur notwendig, um sowohl die logische Sicht des angebundenen Linux-Servers als auch die zugrunde liegende physische Speicherstruktur korrekt zu erfassen.
Hvorfor LanCologne?
LanCologne undersøger ikke Linux-systemer efter en generel standardmodel, men ud fra den konkrete hardware-, distributions- og sikkerhedsarkitektur. Vores medarbejdere har årtiers erfaring inden for informationsteknologi og mange års praktisk erfaring inden for IT-kriminalteknik. Vi bistår virksomheder, advokater, privatpersoner samt regelmæssigt domstole og myndigheder med den tekniske afklaring af digitale sager.
Undersøgelsen foretages som udgangspunkt på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevisværdien. Det originale bevismateriale forbliver uændret eller dokumenteres på en gennemsigtig måde med de teknisk uundgåelige indgreb og opbevares på en måde, der sikrer bevisværdien.
Vores arbejdsmetode og de værktøjer, vi bruger
Vores undersøgelse begynder ikke med, at vi starter et analyseprogram, men med indsamlingen af bevismateriale. Systemet, hardwaren, netværksforbindelsen, den synlige driftstilstand og tilgængeligt tilbehør dokumenteres. Derefter afgøres det, om systemet skal forblive slukket, om en live-registrering er hensigtsmæssig, eller om en offline-adgang via et retsmedicinsk redningssystem er fagligt forsvarligt.
I det næste trin fastlægges sikkerhedsstrategien. Her skelner vi mellem blokorienteret kortlægning, logisk sikkerhed og målrettet triage. Valget afhænger ikke af bekvemmelighed, men af lagringsarkitektur, kryptering, systemets tilgængelighed og det konkrete bevisspørgsmål. Hvor det er teknisk muligt, arbejdes der i skrivebeskyttet tilstand. Uundgåelige statusændringer ved live-registreringer protokolleres udtrykkeligt.
Den genererede sikkerhedskopi dokumenteres med hashværdier. Selve analysen foregår ikke på originalen, men på en arbejdskopi eller et verificeret bevisbillede. På den måde kan man anvende parsere, søgefunktioner eller egne hjælpeprogrammer uden løbende at ændre det originale bevismateriale.
Bei SAN-Umgebungen stimmen wir uns eng mit den Verantwortlichen der Speicherinfrastruktur ab, sichern die logisch angebundenen Datenträger aus Sicht des betroffenen Linux-Servers und dokumentieren zusätzlich die relevante physische Speicherarchitektur.
For en læser uden faglig baggrund er der ét punkt, der er særligt vigtigt: Et forensisk program „finder" ikke automatisk frem til sandheden. Det læser datastrukturer og fortolker dem efter kendte regler. Hvis en ny kerne- eller distributionsversion ændrer et protokolformat eller en datastruktur, kan en parser reagere ufuldstændigt eller forkert. Derfor undersøger vi ved afgørende fund, hvilken fil, database eller filsystemstruktur resultatet stammer fra, og om en anden teknisk metode bekræfter de samme fakta.
Det er også grunden til, at vi anvender flere værktøjer. The Sleuth Kit og Autopsy kan analysere Linux-filsystemer indbygget og med åben kildekode; Belkasoft X tilbyder en anden visning af artefakter og sammenhænge; X-Ways muliggør meget detaljerede undersøgelser af filsystemer og rådata. Hvis uafhængige analyser stemmer overens, øger det pålideligheden. Hvis de ikke stemmer overens, undersøges årsagen, og man vælger ikke blot det mest oplagte resultat.
Typiske anvendelsesområder
Sådan foregår den retsmedicinske undersøgelse
Linux-systemet identificeres først entydigt og dokumenteres fotografisk eller skriftligt. Vi noterer, om det er tændt eller slukket, logget ind, låst eller forbundet med eksterne lagringsmedier eller netværk. Disse oplysninger kan senere vise sig at være afgørende.
Distribution, kerneversion, filsystem, kryptering og relevante sikkerhedsmekanismer fastlægges. Først på dette grundlag kan den passende registreringsmetode fastlægges.
Sikkerhedskopien udvælges således, at der ændres så lidt som muligt på originalen. Afhængigt af situationen kan der være tale om en blokbaseret afbildning via et retsmedicinsk gendannelsessystem, en live-sikkerhedskopiering af det kørende system eller en målrettet udvælgelse af enkelte mapper. Hvert trin logføres.
De genererede afspejlinger eller logiske sikkerhedskopier navngives entydigt, forsynes med hashværdier og verificeres. Analyse og søgninger foretages derefter på arbejdskopier.
The Sleuth Kit, Autopsy, Belkasoft X og X-Ways kombineres afhængigt af problemstillingen. Et vigtigt resultat hentes så vidt muligt ikke kun fra en enkelt parser-visning.
Hvis et bevis er særligt vigtigt, usædvanligt eller kun delvist understøttet af standardsoftware, gennemgår vi rådata, databasestrukturer samt log- eller filsystemoplysninger manuelt. Om nødvendigt anvender vi vores egne værktøjer.
Til sidst nøjes vi ikke blot med at opregne, hvad et værktøj har vist. Vi forklarer, hvilken teknisk kilde der ligger til grund for resultatet, hvilke konklusioner der kan drages, og hvor grænserne går.
Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?
Storage-Area-Network-Umgebungen, an die Linux-Server über spezialisierte Netzwerkprotokolle angebunden sind, stellen aufgrund ihrer verteilten, mehrschichtigen Architektur besondere Anforderungen an die forensische Sicherung.
Den retsmedicinske værdi ligger ikke alene i mængden af de fundne data, men i deres oprindelse og pålidelighed. Et filnavn, et tidsstempel eller en logpost kan være misvisende uden kontekst. Derfor dokumenterer vi, hvordan et artefakt kan være opstået, hvilke alternative forklaringer der findes, og hvilke yderligere spor der underbygger fundet.
Häufig ist eine enge Abstimmung mit den Verantwortlichen der Speicherinfrastruktur notwendig, um sowohl die logische Sicht des angebundenen Linux-Servers als auch die zugrunde liegende physische Speicherstruktur korrekt zu erfassen.
Især på moderne Linux-systemer kan et forsøg på en „klassisk" dataanalyse desuden strande på grund af tekniske begrænsninger. Kryptering, containerisering, flygtig hukommelse og dynamiske konfigurationer gør det tydeligt, hvorfor en fagmæssig sikkerhedskopiering inden selve analysen er så vigtig. Fejl i denne fase kan ikke altid rettes op på senere.
Ofte stillede spørgsmål
LanCologne – Linux-forensik i Köln
Sie benötigen eine professionelle Untersuchung zu „Netzwerkspeicher (SAN) mit Linux forensisch sichern"? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.