IT-Forensik · Linux
Forensic analysis of the ext4 file system – the basis for most Linux investigations
ext4 remains one of the most widely used Linux file systems to this day on Servern, Workstations and numerous embedded systems. It organises data using inodes, extents and a journal, which protects write operations against system crashes. From a forensic perspective, understanding this structure is an essential prerequisite for the proper examination of traditional Linux systems.
Eine ext4-Analyse beschränkt sich nicht auf sichtbare Dateien. Inode-Tabellen, Verzeichnisstrukturen, Journal-Einträge, Zeitstempel und Metadaten werden gemeinsam bewertet, um ein möglichst vollständiges Bild der Systemnutzung zu erhalten. Bei verschlüsselten oder stark fragmentierten Systemen sind zudem LUKS, LVM und die konkrete Kernel-Version zu berücksichtigen.
Why LanCologne?
Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and assist companies, solicitors, private individuals and, on a regular basis, the courts in the technical investigation of complex digital matters.
The examination is, as a matter of principle, carried out exclusively on a forensic copy, a forensic image or a data source captured in a technically equivalent manner that preserves the integrity of the evidence. The original evidence remains unchanged and is stored in a manner that preserves its integrity.
Our services
Wir analysieren Inode-Strukturen, Verzeichnisbäume, das ext4-Journal sowie Extended Attributes und ordnen daraus rekonstruierte Aktivitäten den relevanten Benutzer- und Systemvorgängen zu. Ergebnisse werden mit weiteren Linux-Artefakten wie Logs und Prozessdaten korreliert.
Typical areas of application
So läuft eine ext4-forensische Untersuchung ab
Nach der beweissicheren Erfassung des Datenträgers beziehungsweise des Abbilds wird zunächst die Partitions- und Dateisystemstruktur bestimmt. Inode-Tabellen, Journal und Superblock-Informationen werden dokumentiert und mit dem sichtbaren Verzeichnisbaum abgeglichen. Anschließend werden relevante Dateisysteminformationen mit weiteren Linux-Artefakten wie Logs, Cron-Konfigurationen und Benutzerdaten korreliert. Sämtliche Untersuchungsschritte werden nachvollziehbar dokumentiert.
Warum ist die ext4-Analyse so wichtig?
ext4 bildet auf einem Großteil bestehender Linux-Systeme die technische Grundlage für die Speicherung von System-, Benutzer- und Anwendungsdaten. Eine fehlerhafte Interpretation der Journal- oder Inode-Struktur kann zu falschen zeitlichen oder inhaltlichen Schlussfolgerungen führen.
Deshalb werden ext4-Artefakte nicht isoliert, sondern stets gemeinsam mit den relevanten Systemprotokollen, Benutzerartefakten und Anwendungsdaten bewertet. Nur so lässt sich ein forensisch belastbares Gesamtbild erstellen.
Frequently Asked Questions
LanCologne – Linux-Forensik Köln
Sie benötigen eine professionelle forensische Untersuchung zu „ext4-Dateisystem forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.
Related to this topic
- Forensic analysis of the ext4 journal – reconstructing write operations and system states
- Forensic analysis of the XFS file system – Accurately analysing a high-performance file system on Servern
- Btrfs-Dateisystem forensisch analysieren – Copy-on-Write-Strukturen sachgerecht auswerten
- Btrfs-Snapshots forensisch analysieren – Historische Systemzustände gezielt rekonstruieren