IT-kriminalteknik · Linux

Forensisk analyse af VMware på Linux – Undersøgelse af VMware-virtualiseringsmiljøer under Linux

VMware-produkter som VMware ESXi eller VMware Workstation anvendes også på Linux-værtsmaskiner henholdsvis til virtualisering af Linux-gæstsystemer og bruger i den forbindelse proprietære, velbeskrevne filformater til virtuelle harddiske og snapshots.

Uforpligtende forespørgsel

Den retsmedicinske undersøgelse tager både højde for den virtuelle maskins konfiguration og de indeholdte snapshot-kæder, som på en overskuelig måde kan gengive tidligere systemtilstande.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi sikkerhedskopierer og analyserer VMware-konfigurationsfiler, virtuelle harddisk-images og snapshot-kæder og foretager om nødvendigt en fuldstændig undersøgelse af de virtuelle Linux-systemer, der er indeholdt heri.

Typiske anvendelsesområder

•Retsmedicinsk sikkerhedskopiering og analyse af VMware-baserede virtuelle maskiner
•Analyse af snapshot-kæder med henblik på rekonstruktion af historiske tilstande
•Undersøgelse af kompromitterede virtualiseringsmiljøer
•Analyse af VMware-logfiler
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en VMware-analyse

Efter at de virtuelle harddiskbilleder, konfigurationsfiler og snapshot-oplysninger er blevet sikkerhedskopieret, integreres og analyseres de i forbindelse med den retstekniske undersøgelse. Snapshot-kæder analyseres med henblik på tidligere systemtilstande og sammenlignes med den aktuelle tilstand.

Hvorfor er VMware-analysen relevant i forbindelse med retsmedicinske undersøgelser?

VMware-miljøer anvendes ofte i forretningskritiske infrastrukturer, hvorfor en pålidelig forensisk undersøgelse af sådanne virtuelle Linux-systemer kan have økonomisk betydning.

Snapshot-kæder kan, hvis de findes, muliggøre en særlig detaljeret rekonstruktion af tidsforløbet, da de dokumenterer flere på hinanden følgende systemtilstande.

Ofte stillede spørgsmål

Hvilke VMware-produkter er relevante for Linux-forensik?+
Især VMware ESXi som Server-hypervisor samt VMware Workstation til desktopvirtualisering, begge med sammenlignelige filformater.
Kan slettede snapshots gendannes?+
Delvist, forudsat at der stadig findes tilhørende restdata eller logposter.
Er det muligt at foretage en forensisk analyse uden at afbryde den løbende drift?+
I mange tilfælde ja, for eksempel ved at tage et snapshot, mens systemet kører.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsmedicinsk undersøgelse af „retsmedicinsk analyse af VMware på Linux"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en gennemsigtig analyse af relevante Linux-artefakter.

Kontakt os nu