IT-kriminalteknik · Linux

Forensisk analyse af Podman-containere – Forensisk undersøgelse af daemonløse containermiljøer

I modsætning til Docker anvender Podman en arkitektur uden daemoner, hvor containere kan køres direkte under den pågældende brugerkonto, hvilket også har indflydelse på placeringen og rettighedskonteksten for de relevante artefakter.

Uforpligtende forespørgsel

Især muligheden for at køre containere helt uden root-rettigheder i den såkaldte rootless-tilstand fører til brugerspecifikke datastrukturer, som der skal tages behørigt hensyn til ved den retsmedicinske sikkerhedskopiering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi sikkerhedskopierer og analyserer Podman-containermiljøer under hensyntagen til den pågældende kørselskontekst og rekonstruerer ud fra dette konfigurationer, kørselsdata og brugshistorik.

Typiske anvendelsesområder

•Undersøgelse af kompromitterede Podman-containere
•Analyse af container-miljøer, der kører uden root-adgang
•Rekonstruktion af containerens kørselstidshistorik
•Skelnen mellem brugerspecifikke og systemomfattende containerinstanser
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en Podman-analyse

Efter sikkerhedskopieringen registreres både systemomfattende og brugerspecifikke Podman-datastrukturer, der kører i rootless-tilstand. Containerkonfigurationer og tilgængelige logfiler gennemgås derefter for at identificere afvigelser og tidsordnes.

Hvorfor er Podman-analysen relevant i forbindelse med retsmedicin?

Rootless-drift kan medføre, at containerrelaterede artefakter befinder sig på uventede, brugerspecifikke placeringer, hvilket let kan overses ved en undersøgelse uden den nødvendige ekspertviden.

Da Podman i stigende grad anvendes som et alternativ til Docker, især i sikkerhedsfølsomme miljøer, får den retsmedicinsk korrekte analyse heraf stadig større praktisk betydning.

Ofte stillede spørgsmål

Hvad er den grundlæggende forskel mellem Podman og Docker?+
Podman kræver ingen baggrundstjeneste, der kører permanent, og kan køre containere helt uden root-rettigheder.
Hvor gemmes Podman-containerdata i rootless-tilstand?+
Som regel i den pågældende brugers hjemmemappe, hvilket der skal tages højde for ved den retsmedicinske sikkerhedskopiering.
Er Docker- og Podman-images kompatible?+
Podman er i vid udstrækning kompatibelt med Docker-images og anvender tilsvarende standardformater.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsmedicinsk undersøgelse af „retsmedicinsk analyse af Podman-containere"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en sporbar analyse af relevante Linux-artefakter.

Kontakt os nu