Informática forense · Linux
Realizar una copia de seguridad del sistema Linux en ejecución (captura en vivo)
Bei einem noch aktiven, laufenden Linux-System stellt sich vor jeder Sicherung die grundlegende Frage, ob ein sofortiges Herunterfahren oder eine Live-Erfassung des aktuellen Zustands der forensisch angemessenere Weg ist, da beide Vorgehensweisen unterschiedliche Vor- und Nachteile mit sich bringen.
En los sistemas Linux, este aspecto es especialmente importante, ya que las distribuciones, las versiones del núcleo, las arquitecturas de memoria y los mecanismos de seguridad pueden variar considerablemente. Un sistema Debian clásico Server, un nodo de Kubernetes en contenedor y un sistema embebido no deben tratarse según el mismo esquema técnico. El sistema de archivos, el cifrado, el entorno de ejecución y el estado concreto del sistema determinan qué datos son accesibles y qué método de copia de seguridad provoca los menores cambios.
Eine Live-Akquise ermöglicht die Erfassung flüchtiger Daten wie Arbeitsspeicherinhalt, aktive Netzwerkverbindungen und laufende Prozesse, die nach einem Herunterfahren unwiederbringlich verloren wären, erfordert im Gegenzug jedoch ein kontrolliertes, dokumentiertes Vorgehen, um unvermeidbare Zustandsänderungen so gering wie möglich zu halten.
¿Por qué LanCologne?
LanCologne no analiza los sistemas Linux siguiendo un esquema estándar genérico, sino en función del hardware, la distribución y la arquitectura de seguridad concretos. Nuestros empleados cuentan con décadas de experiencia en tecnologías de la información y una dilatada trayectoria práctica en informática forense. Prestamos apoyo a empresas, abogados y particulares, así como, de forma habitual, a tribunales y organismos públicos, en la investigación técnica de hechos de carácter digital.
El análisis se lleva a cabo, por regla general, sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y con garantías probatorias. La prueba original se conserva sin modificaciones o, en caso de que se realicen intervenciones técnicamente inevitables, se documentan de forma transparente y se conservan con garantías probatorias.
Nuestra forma de trabajar y las herramientas que utilizamos
Nuestra investigación no comienza con la ejecución de un programa de análisis, sino con la recopilación de pruebas. Se documentan el sistema, el hardware, la conexión a la red, el estado operativo visible y los periféricos disponibles. A continuación, se decide si el sistema debe permanecer apagado, si es conveniente realizar un registro en tiempo real o si es técnicamente viable el acceso fuera de línea mediante un sistema de recuperación forense.
En el siguiente paso se define la estrategia de copia de seguridad. Para ello, distinguimos entre copia orientada a bloques, copia de seguridad lógica y selección selectiva. La elección no depende de la comodidad, sino de la arquitectura de almacenamiento, el cifrado, la disponibilidad del sistema y la cuestión probatoria concreta. Siempre que sea técnicamente posible, se trabaja en modo de solo lectura. Los cambios de estado inevitables en los registros en tiempo real se registran expresamente.
La copia de seguridad generada se documenta mediante valores hash. El análisis propiamente dicho no se realiza sobre el original, sino sobre una copia de trabajo o una imagen de prueba verificada. De este modo, es posible utilizar analizadores sintácticos, búsquedas o programas auxiliares propios sin modificar continuamente la prueba original.
Bei einer Live-Akquise legen wir die Reihenfolge der Sicherungsschritte nach dem Grad der Flüchtigkeit der jeweiligen Daten fest: Arbeitsspeicher und Netzwerkzustand vor weniger flüchtigen Informationen, gefolgt von einer möglichst schreibgeschützten Sicherung der Datenträger, sobald dies der konkrete Fall zulässt.
Para un lector sin conocimientos especializados, hay un aspecto especialmente importante: un programa de análisis forense no „descubre" automáticamente la verdad. Lo que hace es leer estructuras de datos e interpretarlas según reglas conocidas. Si una nueva versión del núcleo o de la distribución modifica el formato de un protocolo o una estructura de datos, un analizador sintáctico puede reaccionar de forma incompleta o errónea. Por eso, ante hallazgos decisivos, comprobamos de qué archivo, base de datos o estructura del sistema de archivos procede el resultado y si un segundo método técnico confirma los mismos hechos.
Esa es también la razón por la que utilizamos varias herramientas. The Sleuth Kit y Autopsy pueden analizar sistemas de archivos de Linux de forma nativa y con código abierto; Belkasoft X ofrece otra perspectiva de los artefactos y la correlación; X-Ways permite realizar análisis muy detallados del sistema de archivos y de los datos en bruto. Si los análisis independientes coinciden, la fiabilidad aumenta. Si no coinciden, se investiga la causa y no se selecciona simplemente la coincidencia más conveniente.
Ámbitos de aplicación habituales
Así es como se lleva a cabo la investigación forense
En primer lugar, se identifica de forma inequívoca el sistema Linux y se documenta mediante fotografías o por escrito. Anotamos si está encendido o apagado, si está conectado, bloqueado o conectado a soportes de datos externos o a redes. Esta información puede resultar decisiva más adelante.
Se determinan la distribución, la versión del núcleo, el sistema de archivos, el cifrado y los mecanismos de seguridad pertinentes. Solo a partir de ahí se puede determinar el método de registro adecuado.
La copia de seguridad se selecciona de tal forma que se modifique lo menos posible el original. Dependiendo del caso, se puede optar por una copia orientada a bloques mediante un sistema de recuperación forense, una captura en vivo del sistema en funcionamiento o una selección específica de directorios concretos. Se registra cada paso.
Las imágenes creadas o las copias de seguridad lógicas se nombran de forma unívoca, se les asignan valores hash y se verifican. A continuación, los análisis y las búsquedas se realizan en copias de trabajo.
The Sleuth Kit, también conocido como Autopsy, Belkasoft X y X-Ways, se combinan en función de la cuestión que se plantee. En la medida de lo posible, no se toma un resultado importante únicamente a partir de una única vista del analizador sintáctico.
Si un elemento de prueba resulta especialmente relevante, inusual o solo es compatible de forma parcial con el software estándar, revisamos manualmente los datos en bruto, las estructuras de las bases de datos y la información de los registros o del sistema de archivos. En caso necesario, utilizamos herramientas propias.
Al final, no solo se enumera lo que ha mostrado una herramienta. Explicamos cuál es la fuente técnica en la que se basa el resultado, qué conclusión se puede extraer y cuáles son sus límites.
¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?
Bei einem noch aktiven, laufenden Linux-System stellt sich vor jeder Sicherung die grundlegende Frage, ob ein sofortiges Herunterfahren oder eine Live-Erfassung des aktuellen Zustands der forensisch angemessenere Weg ist, da beide Vorgehensweisen unterschiedliche Vor- und Nachteile mit sich bringen.
El valor forense no reside únicamente en la cantidad de datos encontrados, sino en su procedencia y fiabilidad. El nombre de un archivo, una marca de tiempo o una entrada de registro pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo pudo haberse generado un artefacto, qué explicaciones alternativas existen y qué otras pistas respaldan el hallazgo.
Eine Live-Akquise ermöglicht die Erfassung flüchtiger Daten wie Arbeitsspeicherinhalt, aktive Netzwerkverbindungen und laufende Prozesse, die nach einem Herunterfahren unwiederbringlich verloren wären, erfordert im Gegenzug jedoch ein kontrolliertes, dokumentiertes Vorgehen, um unvermeidbare Zustandsänderungen so gering wie möglich zu halten.
Además, precisamente en los sistemas Linux modernos, el intento de realizar un análisis „clásico" de los soportes de datos puede fracasar debido a limitaciones técnicas. El cifrado, la contenedorización, la memoria volátil y las configuraciones dinámicas ponen de manifiesto por qué es tan importante realizar una copia de seguridad adecuada antes del análisis propiamente dicho. Los errores cometidos en esta fase no siempre pueden revertirse posteriormente.
Preguntas frecuentes
LanCologne – Análisis forense de Linux en Colonia
Sie benötigen eine professionelle Untersuchung zu „Laufendes Linux-System sichern (Live-Akquise)"? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.