IT-kriminalteknik · Linux
Sikkerhedskopiering af et kørende Linux-system (live-kopiering)
Bei einem noch aktiven, laufenden Linux-System stellt sich vor jeder Sicherung die grundlegende Frage, ob ein sofortiges Herunterfahren oder eine Live-Erfassung des aktuellen Zustands der forensisch angemessenere Weg ist, da beide Vorgehensweisen unterschiedliche Vor- und Nachteile mit sich bringen.
På Linux-systemer er dette punkt særligt vigtigt, da distributioner, kerneversioner, hukommelsesarkitekturer og sikkerhedsmekanismer kan variere betydeligt. En klassisk Debian-Server, en containeriseret Kubernetes-node og et indlejret system må ikke behandles efter det samme tekniske skema. Filsystem, kryptering, kørselsmiljø og den aktuelle systemtilstand bestemmer, hvilke data der er tilgængelige, og hvilken sikkerhedsmetode der medfører færrest ændringer.
Eine Live-Akquise ermöglicht die Erfassung flüchtiger Daten wie Arbeitsspeicherinhalt, aktive Netzwerkverbindungen und laufende Prozesse, die nach einem Herunterfahren unwiederbringlich verloren wären, erfordert im Gegenzug jedoch ein kontrolliertes, dokumentiertes Vorgehen, um unvermeidbare Zustandsänderungen so gering wie möglich zu halten.
Hvorfor LanCologne?
LanCologne undersøger ikke Linux-systemer efter en generel standardmodel, men ud fra den konkrete hardware-, distributions- og sikkerhedsarkitektur. Vores medarbejdere har årtiers erfaring inden for informationsteknologi og mange års praktisk erfaring inden for IT-kriminalteknik. Vi bistår virksomheder, advokater, privatpersoner samt regelmæssigt domstole og myndigheder med den tekniske afklaring af digitale sager.
Undersøgelsen foretages som udgangspunkt på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevisværdien. Det originale bevismateriale forbliver uændret eller dokumenteres på en gennemsigtig måde med de teknisk uundgåelige indgreb og opbevares på en måde, der sikrer bevisværdien.
Vores arbejdsmetode og de værktøjer, vi bruger
Vores undersøgelse begynder ikke med, at vi starter et analyseprogram, men med indsamlingen af bevismateriale. Systemet, hardwaren, netværksforbindelsen, den synlige driftstilstand og tilgængeligt tilbehør dokumenteres. Derefter afgøres det, om systemet skal forblive slukket, om en live-registrering er hensigtsmæssig, eller om en offline-adgang via et retsmedicinsk redningssystem er fagligt forsvarligt.
I det næste trin fastlægges sikkerhedsstrategien. Her skelner vi mellem blokorienteret kortlægning, logisk sikkerhed og målrettet triage. Valget afhænger ikke af bekvemmelighed, men af lagringsarkitektur, kryptering, systemets tilgængelighed og det konkrete bevisspørgsmål. Hvor det er teknisk muligt, arbejdes der i skrivebeskyttet tilstand. Uundgåelige statusændringer ved live-registreringer protokolleres udtrykkeligt.
Den genererede sikkerhedskopi dokumenteres med hashværdier. Selve analysen foregår ikke på originalen, men på en arbejdskopi eller et verificeret bevisbillede. På den måde kan man anvende parsere, søgefunktioner eller egne hjælpeprogrammer uden løbende at ændre det originale bevismateriale.
Bei einer Live-Akquise legen wir die Reihenfolge der Sicherungsschritte nach dem Grad der Flüchtigkeit der jeweiligen Daten fest: Arbeitsspeicher und Netzwerkzustand vor weniger flüchtigen Informationen, gefolgt von einer möglichst schreibgeschützten Sicherung der Datenträger, sobald dies der konkrete Fall zulässt.
For en læser uden faglig baggrund er der ét punkt, der er særligt vigtigt: Et forensisk program „finder" ikke automatisk frem til sandheden. Det læser datastrukturer og fortolker dem efter kendte regler. Hvis en ny kerne- eller distributionsversion ændrer et protokolformat eller en datastruktur, kan en parser reagere ufuldstændigt eller forkert. Derfor undersøger vi ved afgørende fund, hvilken fil, database eller filsystemstruktur resultatet stammer fra, og om en anden teknisk metode bekræfter de samme fakta.
Det er også grunden til, at vi anvender flere værktøjer. The Sleuth Kit og Autopsy kan analysere Linux-filsystemer indbygget og med åben kildekode; Belkasoft X tilbyder en anden visning af artefakter og sammenhænge; X-Ways muliggør meget detaljerede undersøgelser af filsystemer og rådata. Hvis uafhængige analyser stemmer overens, øger det pålideligheden. Hvis de ikke stemmer overens, undersøges årsagen, og man vælger ikke blot det mest oplagte resultat.
Typiske anvendelsesområder
Sådan foregår den retsmedicinske undersøgelse
Linux-systemet identificeres først entydigt og dokumenteres fotografisk eller skriftligt. Vi noterer, om det er tændt eller slukket, logget ind, låst eller forbundet med eksterne lagringsmedier eller netværk. Disse oplysninger kan senere vise sig at være afgørende.
Distribution, kerneversion, filsystem, kryptering og relevante sikkerhedsmekanismer fastlægges. Først på dette grundlag kan den passende registreringsmetode fastlægges.
Sikkerhedskopien udvælges således, at der ændres så lidt som muligt på originalen. Afhængigt af situationen kan der være tale om en blokbaseret afbildning via et retsmedicinsk gendannelsessystem, en live-sikkerhedskopiering af det kørende system eller en målrettet udvælgelse af enkelte mapper. Hvert trin logføres.
De genererede afspejlinger eller logiske sikkerhedskopier navngives entydigt, forsynes med hashværdier og verificeres. Analyse og søgninger foretages derefter på arbejdskopier.
The Sleuth Kit, Autopsy, Belkasoft X og X-Ways kombineres afhængigt af problemstillingen. Et vigtigt resultat hentes så vidt muligt ikke kun fra en enkelt parser-visning.
Hvis et bevis er særligt vigtigt, usædvanligt eller kun delvist understøttet af standardsoftware, gennemgår vi rådata, databasestrukturer samt log- eller filsystemoplysninger manuelt. Om nødvendigt anvender vi vores egne værktøjer.
Til sidst nøjes vi ikke blot med at opregne, hvad et værktøj har vist. Vi forklarer, hvilken teknisk kilde der ligger til grund for resultatet, hvilke konklusioner der kan drages, og hvor grænserne går.
Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?
Bei einem noch aktiven, laufenden Linux-System stellt sich vor jeder Sicherung die grundlegende Frage, ob ein sofortiges Herunterfahren oder eine Live-Erfassung des aktuellen Zustands der forensisch angemessenere Weg ist, da beide Vorgehensweisen unterschiedliche Vor- und Nachteile mit sich bringen.
Den retsmedicinske værdi ligger ikke alene i mængden af de fundne data, men i deres oprindelse og pålidelighed. Et filnavn, et tidsstempel eller en logpost kan være misvisende uden kontekst. Derfor dokumenterer vi, hvordan et artefakt kan være opstået, hvilke alternative forklaringer der findes, og hvilke yderligere spor der underbygger fundet.
Eine Live-Akquise ermöglicht die Erfassung flüchtiger Daten wie Arbeitsspeicherinhalt, aktive Netzwerkverbindungen und laufende Prozesse, die nach einem Herunterfahren unwiederbringlich verloren wären, erfordert im Gegenzug jedoch ein kontrolliertes, dokumentiertes Vorgehen, um unvermeidbare Zustandsänderungen so gering wie möglich zu halten.
Især på moderne Linux-systemer kan et forsøg på en „klassisk" dataanalyse desuden strande på grund af tekniske begrænsninger. Kryptering, containerisering, flygtig hukommelse og dynamiske konfigurationer gør det tydeligt, hvorfor en fagmæssig sikkerhedskopiering inden selve analysen er så vigtig. Fejl i denne fase kan ikke altid rettes op på senere.
Ofte stillede spørgsmål
LanCologne – Linux-forensik i Köln
Sie benötigen eine professionelle Untersuchung zu „Laufendes Linux-System sichern (Live-Akquise)"? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.