IT-rikostutkinta · Linux
Live-analyysin ja jälkianalyysin ero Linuxissa
Bei der forensischen Untersuchung eines Linux-Systems stehen grundsätzlich zwei unterschiedliche Herangehensweisen zur Verfügung: die Analyse eines noch laufenden Systems, sogenannte Live-Analyse, sowie die Post-Mortem-Analyse eines bereits heruntergefahrenen Systems.
Linux-järjestelmissä tämä seikka on erityisen tärkeä, koska jakelupaketit, ytimen versiot, muistirakenteet ja turvamekanismit voivat vaihdella huomattavasti. Klassista Debian-Server-järjestelmää, kontitoitua Kubernetes-solmua ja sulautettua järjestelmää ei saa käsitellä saman teknisen mallin mukaisesti. Tiedostojärjestelmä, salaus, suoritusympäristö ja järjestelmän kulloinenkin tila määräävät, mitkä tiedot ovat käytettävissä ja mikä varmuuskopiointimenetelmä aiheuttaa vähiten muutoksia.
Die Wahl zwischen beiden Ansätzen hängt maßgeblich von der konkreten Beweisfrage, der Verfügbarkeit flüchtiger Daten und den betrieblichen Rahmenbedingungen des jeweiligen Systems ab und wird für jeden Fall individuell getroffen.
Miksi LanCologne?
LanCologne ei tutki Linux-järjestelmiä yleisen vakiomallin mukaisesti, vaan kunkin järjestelmän laitteiston, jakelupaketin ja tietoturva-arkkitehtuurin perusteella. Henkilöstöllämme on vuosikymmenten kokemus tietotekniikasta ja pitkäaikainen käytännön kokemus IT-rikostutkinnasta. Autamme yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti tuomioistuimia ja viranomaisia digitaalisten seikkojen teknisessä selvittämisessä.
Tutkimus suoritetaan periaatteessa rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilytetään muuttumattomana tai, jos siihen joudutaan tekemään teknisesti väistämättömiä muutoksia, ne dokumentoidaan avoimesti ja säilytetään todistusvoimaisesti.
Toimintatapamme ja käyttämämme työkalut
Tutkimuksemme ei ala analysointiohjelman käynnistämisestä, vaan todisteiden keräämisestä. Järjestelmä, laitteisto, verkkoyhteys, näkyvä toimintatila ja käytettävissä olevat oheislaitteet dokumentoidaan. Sen jälkeen päätetään, onko järjestelmän oltava sammutettuna, onko reaaliaikainen tietojen kerääminen järkevää vai onko offline-käyttö rikosteknologisen pelastusjärjestelmän avulla teknisesti perusteltua.
Seuraavassa vaiheessa määritellään varmuuskopiointistrategia. Tässä yhteydessä erotamme toisistaan lohkopohjaisen kuvauksen, loogisen varmuuskopioinnin ja kohdennetun triage-menettelyn. Valinta ei riipu mukavuudesta, vaan tallennusarkkitehtuurista, salauksesta, järjestelmän käytettävyydestä ja konkreettisesta todistusaineistokysymyksestä. Mikäli se on teknisesti mahdollista, työskennellään kirjoitussuojatusti. Live-tallennusten yhteydessä väistämättömät tilamuutokset kirjataan nimenomaisesti lokiin.
Luotu varmuuskopio dokumentoidaan hajautusarvoilla. Varsinainen analyysi ei tapahdu alkuperäiskappaleella, vaan työkopiolla tai todennetulla todistuskuvalla. Näin voidaan käyttää jäsennimiä, hakutoimintoja tai omia apuohjelmia muuttamatta alkuperäistä todistusaineistoa jatkuvasti.
Wir wägen für jeden Fall individuell ab, ob eine Live-Analyse zur Erfassung flüchtiger Daten erforderlich ist oder ob eine Post-Mortem-Analyse eines bereits gesicherten, heruntergefahrenen Systemzustands die forensisch angemessenere und risikoärmere Vorgehensweise darstellt.
Alaa tuntemattomalle lukijalle yksi seikka on tässä yhteydessä erityisen tärkeä: rikostekninen ohjelma ei „löydä" totuutta automaattisesti. Se lukee tietorakenteita ja tulkitsee niitä tunnettujen sääntöjen mukaisesti. Jos uusi ytimen tai jakelupaketin versio muuttaa protokollamuotoa tai tietorakennetta, jäsennin voi reagoida puutteellisesti tai virheellisesti. Siksi tarkistamme ratkaisevien havaintojen yhteydessä, mistä tiedostosta, tietokannasta tai tiedostojärjestelmän rakenteesta tulos on peräisin ja vahvistaako toinen tekninen menetelmä saman tosiasian.
Tämä on myös syy siihen, miksi käytämme useita työkaluja. The Sleuth Kit ja Autopsy pystyvät analysoimaan Linux-tiedostojärjestelmiä natiivisti ja avoimen lähdekoodin pohjalta; Belkasoft X tarjoaa toisenlaisen näkymän artefakteihin ja korrelaatioihin; X-Ways mahdollistaa erittäin yksityiskohtaiset tiedostojärjestelmän ja raakadatan tarkastukset. Jos riippumattomat analyysit ovat yhdenmukaisia, se lisää tulosten luotettavuutta. Jos ne eivät ole yhdenmukaisia, syy tutkitaan eikä valita yksinkertaisesti kätevintä osumaa.
Tyypillisiä käyttökohteita
Näin rikostekninen tutkimus etenee
Linux-järjestelmä tunnistetaan aluksi yksiselitteisesti ja dokumentoidaan valokuvin tai kirjallisesti. Kirjaamme ylös, onko järjestelmä päällä vai pois päältä, kirjautuneena sisään, lukittuna vai kytkettynä ulkoisiin tallennusvälineisiin tai verkkoihin. Nämä tiedot voivat olla ratkaisevia myöhemmin.
Määritetään jakelu, ytimen versio, tiedostojärjestelmä, salaus ja asiaankuuluvat suojausmekanismit. Vasta tämän perusteella voidaan valita sopiva keräysmenetelmä.
Varmuuskopio valitaan siten, että alkuperäiseen tiedostoon tehdään mahdollisimman vähän muutoksia. Tapauksesta riippuen voidaan käyttää lohkokohtaista kuvausta rikosteknologisen pelastusjärjestelmän avulla, käynnissä olevan järjestelmän reaaliaikaista tallennusta tai yksittäisten hakemistojen kohdennettua seulontaa. Jokainen vaihe kirjataan lokiin.
Luodut kuvat tai loogiset varmuuskopiot nimetään yksiselitteisesti, niille annetaan hajautusarvot ja ne tarkistetaan. Analysointi ja hakutoiminnot suoritetaan tämän jälkeen työkopioilla.
The Sleuth Kit eli Autopsy, Belkasoft X ja X-Ways yhdistetään toisiinsa kysymyksen luonteen mukaan. Tärkeää tulosta ei mahdollisuuksien mukaan oteta huomioon vain yhden jäsenninäkymän perusteella.
Jos todiste on erityisen merkityksellinen, epätavallinen tai sitä tuetaan vakio-ohjelmistoilla vain osittain, tarkastamme raakadataa, tietokantarakenteita sekä loki- tai tiedostojärjestelmätietoja manuaalisesti. Tarvittaessa käytämme omia työkalujamme.
Lopuksi emme vain luettele sitä, mitä työkalu on näyttänyt. Selitämme, mihin tekniseen lähteeseen tulos perustuu, millainen johtopäätös on perusteltu ja mitkä ovat sen rajoitukset.
Miksi tämä tutkimusalue on rikosteknologisesti merkityksellinen?
Bei der forensischen Untersuchung eines Linux-Systems stehen grundsätzlich zwei unterschiedliche Herangehensweisen zur Verfügung: die Analyse eines noch laufenden Systems, sogenannte Live-Analyse, sowie die Post-Mortem-Analyse eines bereits heruntergefahrenen Systems.
Rikostekninen arvo ei perustu pelkästään löydetyn datan määrään, vaan sen alkuperään ja luotettavuuteen. Tiedostonimi, aikaleima tai lokimerkintä voi ilman asiayhteyttä olla harhaanjohtava. Siksi dokumentoimme, miten todiste on voinut syntyä, mitä vaihtoehtoisia selityksiä on olemassa ja mitkä muut jäljet tukevat löydöstä.
Die Wahl zwischen beiden Ansätzen hängt maßgeblich von der konkreten Beweisfrage, der Verfügbarkeit flüchtiger Daten und den betrieblichen Rahmenbedingungen des jeweiligen Systems ab und wird für jeden Fall individuell getroffen.
Erityisesti nykyaikaisissa Linux-järjestelmissä „perinteisen" tietovälineanalyysin yritys voi epäonnistua teknisten rajoitusten vuoksi. Salaus, kontitointi, väliaikainen muisti ja dynaamiset kokoonpanot osoittavat selvästi, miksi asiantunteva varmuuskopiointi ennen varsinaista analyysia on niin tärkeää. Tässä vaiheessa tehtyjä virheitä ei aina voida korjata jälkikäteen.
Usein kysyttyjä kysymyksiä
LanCologne – Linux-rikostutkinta Köln
Sie benötigen eine professionelle Untersuchung zu „Unterschied zwischen Live- und Post-Mortem-Analyse bei Linux"? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.