IT-kriminalteknik · Linux

Forensisk analyse af LVM – Korrekt klassificering af logiske volumener

Logical Volume Manager (LVM) omdanner fysiske datamedier til fleksible logiske volumener og anvendes til lagerstyring på en lang række Linux-Servern- og Workstation-systemer. Volumegrupper samler flere fysiske volumener, hvorfra der oprettes logiske volumener.

Uforpligtende forespørgsel

For den retsmedicinske undersøgelse er det afgørende at rekonstruere den faktiske sammenhæng mellem fysiske datamedier, volumengrupper og logiske volumener korrekt, inden selve filsystemanalysen påbegyndes. En forkert sammenhæng kan føre til en ufuldstændig eller forkert vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi rekonstruerer LVM-strukturen ud fra metadataene for volumengrupper og logiske volumener, tildeler de tilhørende fysiske datamedier korrekt og forbereder de logiske volumener til den efterfølgende filsystemanalyse.

Typiske anvendelsesområder

•Rekonstruktion af komplekse Server-hukommelsesstrukturer
•Undersøgelse af systemer med flere volumengrupper
•Vurdering af LVM-snapshots og thin provisioning
•Forberedelse af filsystemanalysen på logiske volumener
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en LVM-forensisk undersøgelse

Når alle involverede fysiske datamedier er blevet sikkerhedskopieret, analyseres først LVM-metadatastrukturen for at rekonstruere volumengrupper og logiske volumener korrekt. Derefter gøres de logiske volumener tilgængelige til den videre filsystemanalyse uden at ændre det oprindelige billede.

Hvorfor er LVM-analysen relevant i forbindelse med retsmedicin?

Mange Linux-Server-systemer bruger LVM til fleksibel lagringsadministration, hvilket gør det muligt at fordele data på flere fysiske lagringsmedier. En korrekt rekonstruktion af LVM-strukturen er en forudsætning for en fuldstændig filsystemanalyse.

Hvis LVM-strukturen ikke rekonstrueres korrekt, kan dele af datamængden blive overset under analysen. Derfor kontrolleres volumetildelingen omhyggeligt, inden der foretages yderligere undersøgelser.

Ofte stillede spørgsmål

Hvad er forskellen mellem en volumengruppe og et logisk volumen?+
En volumengruppe samler fysiske datamedier i en lagerpulje, hvorfra de enkelte logiske volumener stilles til rådighed som brugbare partitioner, der kan dimensioneres fleksibelt.
Kan et logisk volumen være fordelt på flere datamedier?+
Ja, et logisk volumen kan udnytte lagerplads fra flere fysiske lagringsenheder inden for den samme volumengruppe.
Hvad sker der, hvis et datamedie i en volumengruppe mangler?+
Hvis der mangler et datamedie, kan volumengruppen være ufuldstændig eller umulig at aktivere. Den tekniske diagnose viser, om og hvilke data der alligevel kan rekonstrueres.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsmedicinsk undersøgelse af „forensisk analyse af LVM"? LanCologne hjælper dig med at sikre digitale bevismidler på en retsgyldig måde samt med en sporbar analyse af relevante Linux-artefakter.

Kontakt os nu