IT-kriminalteknik · Linux

Forensisk analyse af Btrfs-filsystemet – korrekt vurdering af Copy-on-Write-strukturer

Btrfs er et moderne Copy-on-Write-filsystem, der understøtter subvolumer, snapshots, integreret volumenstyring og kontrolsumberegning. Det anvendes i stigende grad på desktop- og Server-systemer samt i NAS-løsninger.

Uforpligtende forespørgsel

I henhold til »Copy-on-Write«-princippet overskrives datablokke ikke direkte, når der foretages ændringer, men skrives i stedet på ny, mens gamle versioner under visse omstændigheder bevares via snapshots. Dette kan i forbindelse med digital efterforskning betyde både yderligere muligheder for rekonstruktion og øget kompleksitet.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi analyserer Btrfs-subvolumener, eksisterende snapshots samt den interne metadatastruktur og undersøger, hvilke ældre datatilstande der stadig kan rekonstrueres via snapshots eller rester fra Copy-on-Write.

Typiske anvendelsesområder

•Analyse af Btrfs-undervolumer og snapshots
•Rekonstruktion af tidligere filtilstande ved hjælp af snapshots
•Undersøgelse af NAS- og desktop-systemer med Btrfs
•Vurdering af Copy-on-Write-datarester
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en Btrfs-forensisk undersøgelse

Efter sikkerhedskopieringen identificeres og dokumenteres først eksisterende subvolumener og snapshots. Derefter analyseres den interne metadatastruktur for at identificere datarester, der skyldes Copy-on-Write, samt tidligere tilstande for enkelte filer. Resultaterne sammenholdes med andre systemartefakter.

Hvorfor er Btrfs-analysen relevant i forbindelse med retsmedicin?

Btrfs-snapshots kan bevare historiske tilstande af et system, der har stor værdi i forbindelse med kriminalteknisk analyse, og som ikke længere ville være tilgængelige på klassiske filsystemer. Korrekt identifikation og analyse heraf kan forbedre rekonstruktionen betydeligt.

Samtidig kræver »Copy-on-Write«-princippet en helt anden forståelse af overskrivning af data end i klassiske filsystemer. En korrekt vurdering forudsætter derfor specifik viden om Btrfs.

Ofte stillede spørgsmål

Hvad er »Copy-on-Write« i Btrfs?+
Ved ændringer overskrives datablokke ikke direkte, men skrives i stedet på en ny placering, mens ældre versioner under visse omstændigheder bevares via snapshots.
Hvilken retsmedicinsk værdi har Btrfs-snapshots?+
Eksisterende snapshots kan give yderligere oplysninger til rekonstruktion af tid og indhold, forudsat at de fandtes på det relevante tidspunkt.
Er Btrfs udbredt på Servern?+
Btrfs bliver i stigende grad anvendt, blandt andet på NAS-systemer og visse Server- og desktop-distributioner, men er mindre udbredt end ext4 eller XFS.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsmedicinsk undersøgelse af „retsmedicinsk analyse af Btrfs-filsystemet"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en sporbar analyse af relevante Linux-artefakter.

Kontakt os nu