IT-Forensik · Linux
Forensic analysis of the XFS file system – Accurately analysing a high-performance file system on Servern
XFS ist ein für hohe Durchsatzraten und große Volumen ausgelegtes Dateisystem, das insbesondere auf Enterprise-Linux-Distributionen wie Red Hat und deren Derivaten häufig als Standard eingesetzt wird. Es unterscheidet sich in Allokations- und Journaling-Verhalten deutlich von ext-basierten Dateisystemen.
Für die forensische Auswertung ist relevant, dass XFS traditionell keine einfache Undelete-Funktion bietet und gelöschte Inodes schneller wiederverwendet werden können. Dies erfordert eine an die XFS-Architektur angepasste Untersuchungsstrategie.
Why LanCologne?
Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and assist companies, solicitors, private individuals and, on a regular basis, the courts in the technical investigation of complex digital matters.
The examination is, as a matter of principle, carried out exclusively on a forensic copy, a forensic image or a data source captured in a technically equivalent manner that preserves the integrity of the evidence. The original evidence remains unchanged and is stored in a manner that preserves its integrity.
Our services
Wir werten XFS-spezifische Metadatenstrukturen, Allocation Groups und das Journal aus und ordnen die Ergebnisse dem tatsächlichen System- und Nutzungskontext zu, unter Berücksichtigung der eingeschränkten Wiederherstellbarkeit gelöschter Inhalte.
Typical areas of application
So läuft eine XFS-forensische Untersuchung ab
Nach der Sicherung wird die XFS-Struktur einschließlich Allocation Groups, Inode-Tabellen und Journal bestimmt. Da gelöschte Inode-Bereiche bei XFS vergleichsweise schnell wiederverwendet werden können, wird die Dringlichkeit der Sicherung bei Verdacht auf Löschvorgänge besonders berücksichtigt. Die gewonnenen Informationen werden anschließend mit weiteren Systemartefakten korreliert.
Warum ist die XFS-Analyse forensisch relevant?
XFS wird auf zahlreichen Unternehmensservern eingesetzt, die häufig unternehmenskritische oder mandantenbezogene Daten enthalten. Eine sachgerechte Interpretation der XFS-Struktur ist Voraussetzung für belastbare Aussagen zu Datei- und Systemaktivitäten.
Da sich XFS im Lösch- und Allokationsverhalten von ext-basierten Systemen unterscheidet, führt eine unreflektierte Übertragung ext-spezifischer Annahmen leicht zu falschen Schlussfolgerungen. Die Besonderheiten werden deshalb bei jeder Untersuchung gesondert berücksichtigt.
Frequently Asked Questions
LanCologne – Linux-Forensik Köln
Sie benötigen eine professionelle forensische Untersuchung zu „XFS-Dateisystem forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.
Related to this topic
- Btrfs-Dateisystem forensisch analysieren – Copy-on-Write-Strukturen sachgerecht auswerten
- Btrfs-Snapshots forensisch analysieren – Historische Systemzustände gezielt rekonstruieren
- ZFS unter Linux forensisch analysieren – Pool-Strukturen und Integritätsmechanismen auswerten
- ZFS-Snapshots forensisch analysieren – Frühere Datasets nachvollziehbar rekonstruieren