IT-kriminalteknik · Linux

Forensisk analyse af LVM-snapshots – Undersøgelse af historiske volumetilstande

LVM-snapshots bevarer tilstanden af et logisk volumen på et bestemt tidspunkt og oprettes ofte før systemændringer, Updates eller sikkerhedskopieringer. De er baseret på en mekanisme, der ligner »Copy-on-Write«.

Uforpligtende forespørgsel

Da et LVM-snapshot kun gemmer de datablokke, der er blevet ændret siden dets oprettelse, er dets tilgængelige lagerplads begrænset, og det kan blive ugyldigt, når denne plads er opbrugt. Dette skal tages i betragtning ved den retsmedicinske vurdering af tilgængeligheden og fuldstændigheden.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi identificerer eksisterende LVM-snapshots eller sådanne, der er angivet i metadata, kontrollerer deres gyldighed og analyserer de historiske datatilstande, de indeholder, i forhold til det aktuelle logiske volumen.

Typiske anvendelsesområder

•Rekonstruktion af tidligere systemtilstande før Updates
•Undersøgelse af automatiserede backup-snapshots
•Sammenligning af datatilstande før og efter systemændringer
•Vurdering af snapshot-kapacitet og -gyldighed
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en LVM-snapshot-analyse

Efter sikkerhedskopieringen identificeres eksisterende LVM-snapshots og kontrolleres for gyldighed, da et udtømt snapshot kan blive ugyldigt. Derefter sammenlignes de indeholdte datablokke med det aktuelle logiske volumen for nøjagtigt at dokumentere ændringer.

Hvorfor er analysen af LVM-snapshots relevant i forbindelse med retsmedicinske undersøgelser?

Et øjebliksbillede, der er taget før en kritisk systemændring, kan bevare tilstanden umiddelbart før en hændelse og dermed give et værdifuldt forensisk sammenligningsgrundlag.

Da LVM-snapshots kan blive ugyldige, hvis lagerpladsen er begrænset, kan deres tilgængelighed ikke garanteres. Den faktiske anvendelighed kontrolleres derfor i hvert enkelt tilfælde individuelt.

Ofte stillede spørgsmål

Hvordan fungerer et LVM-snapshot rent teknisk?+
Når den oprettes, gemmer den i første omgang kun en henvisning til originalen og opbevarer derefter kun de datablokke, der er blevet ændret siden oprettelsen, separat.
Kan et LVM-snapshot blive ugyldigt?+
Ja, hvis den lagerplads, der er afsat til ændringer, er opbrugt, kan snapshotet blive ugyldigt og ubrugeligt.
Oprettes der LVM-snapshots som standard?+
Nej, de skal oprettes målrettet, f.eks. manuelt eller via automatiserede backup- og Update-processer.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsteknisk undersøgelse af „retsteknisk analyse af LVM-snapshots"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en gennemsigtig analyse af relevante Linux-artefakter.

Kontakt os nu