Informática forense · Linux

Análisis forense de los indicadores inmutables y los atributos «chattr»: evaluación de los atributos avanzados de protección del sistema de archivos

Mediante la herramienta «chattr» se pueden establecer atributos avanzados en determinados sistemas de archivos de Linux, que, por ejemplo, hacen que un archivo sea inmutable o permiten únicamente la escritura de datos adicionales, independientemente de los derechos de acceso habituales.

Solicitar información sin compromiso

Estos atributos pueden utilizarse tanto de forma legítima para proteger archivos importantes del sistema como de forma selectiva por parte de un atacante, por ejemplo, para proteger su propia manipulación frente a una eliminación posterior por parte del propietario real del sistema.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Comprobamos si los archivos y directorios relevantes tienen atributos avanzados establecidos y contextualizamos su presencia en el marco de la investigación forense, incluida una evaluación de posibles usos indebidos.

Ámbitos de aplicación habituales

•Detección de atributos de protección establecidos de forma indebida
•Análisis de por qué no se pudieron modificar o eliminar determinados archivos como se esperaba
•Detección de intentos de manipulación selectivos mediante atributos ampliados
•Verificación de que las medidas de protección del sistema estén correctamente configuradas
•Respuesta ante incidentes en sistemas Linux
•Peritajes judiciales y extrajudiciales

Así es como se lleva a cabo un análisis de atributos de chattr

Tras la copia de seguridad, se comprueba sistemáticamente si los archivos y directorios relevantes presentan atributos avanzados establecidos. Los hallazgos sospechosos se evalúan en el contexto de otros elementos del sistema para distinguir entre el refuerzo legítimo de la seguridad del sistema y un uso indebido.

¿Por qué es relevante desde el punto de vista forense el análisis de atributos de chattr?

Un atacante puede utilizar los atributos avanzados de forma selectiva para asegurar de forma permanente sus propias manipulaciones o para dificultar que el administrador del sistema las detecte y elimine posteriormente.

Por el contrario, estos atributos también podrían haberse utilizado legítimamente para reforzar la seguridad de archivos críticos del sistema, por lo que cada hallazgo debe evaluarse cuidadosamente en el contexto concreto del sistema.

Preguntas frecuentes

¿Qué efecto tiene concretamente el atributo «immutable»?+
Un archivo marcado de esta forma no puede ser modificado ni eliminado, ni siquiera por un usuario con los permisos suficientes, sin que se haya eliminado previamente dicho atributo.
¿Todos los sistemas de archivos de Linux admiten atributos avanzados?+
Sin embargo, no todos los sistemas de archivos más comunes, como ext4 o XFS, admiten esta función.
¿Es posible determinar, desde el punto de vista forense, cuándo se estableció dicho atributo?+
Esto es posible, en parte, mediante la modificación de los metadatos correspondientes y los registros del sistema complementarios.

🔗 Temas relacionados

LanCologne – Análisis forense de Linux en Colonia

¿Necesita un análisis forense profesional sobre „el análisis forense de los indicadores inmutables y los atributos de chattr"? LanCologne le ayuda a realizar copias de seguridad de pruebas digitales válidas ante los tribunales, así como a llevar a cabo un análisis trazable de los artefactos relevantes de Linux.

Ponte en contacto con nosotros ahora