IT-rikostutkinta · Linux

LVM-snapshotien rikostekninen analysointi – historiallisten levytilojen arviointi

LVM-snapshotit tallentavat loogisen levyn tilan tietyllä ajankohdalla, ja niitä luodaan usein ennen järjestelmän muutoksia, Update-toimenpiteitä tai varmuuskopiointeja. Ne perustuvat Copy-on-Write-mekanismia muistuttavaan toimintaperiaatteeseen.

Pyydä sitoumukseton tarjous

Koska LVM-snapshot tallentaa erikseen vain ne datalohkot, jotka ovat muuttuneet sen luomisen jälkeen, sen käytettävissä oleva tallennustila on rajallinen ja se voi menettää voimassaolonsa, kun tila loppuu. Tämä on otettava huomioon saatavuuden ja täydellisyyden rikosteknologisessa arvioinnissa.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkinta suoritetaan periaatteessa yksinomaan rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusvoimaisesti.

Palvelumme

Tunnistamme olemassa olevat tai metatiedoissa viitatut LVM-snapshotit, tarkistamme niiden kelpoisuuden ja arvioimme niissä olevia historiallisia tietotiloja suhteessa nykyiseen loogiseen volyymiin.

Tyypillisiä käyttökohteita

•Aikaisempien järjestelmätilojen rekonstruointi ennen Updates:ää
•Automaattisten varmuuskopio-snapshotien tutkimus
•Järjestelmän muutoksia edeltävien ja niiden jälkeisten tietojen vertailu
•Snapshot-kapasiteetin ja voimassaolon arviointi
•Tapahtumien käsittely Linux-järjestelmissä
•Oikeudelliset ja oikeuden ulkopuoliset asiantuntijalausunnot

Näin LVM-snapshot-analyysi suoritetaan

Varmuuskopioinnin jälkeen järjestelmä tunnistaa olemassa olevat LVM-snapshotit ja tarkistaa niiden kelpoisuuden, sillä täyttynyt snapshot voi menettää kelpoisuutensa. Sen jälkeen niissä olevat datalohkot verrataan nykyiseen loogiseen taltioon, jotta muutokset voidaan dokumentoida tarkasti.

Miksi LVM-snapshot-analyysi on rikosteknologisesti merkityksellinen?

Ennen kriittistä järjestelmän muutosta luotu tilannekuva voi tallentaa tilan välittömästi ennen tapahtumaa ja tarjota siten arvokkaan vertailukohdan rikostekniseen tutkintaan.

Koska LVM-snapshotit voivat menettää voimassaolonsa, jos tallennustilaa on rajoitetusti, niiden saatavuutta ei voida taata. Siksi niiden todellinen käyttökelpoisuus tarkistetaan aina tapauskohtaisesti.

Usein kysyttyjä kysymyksiä

Miten LVM-snapshot toimii teknisesti?+
Luomisen yhteydessä se tallentaa aluksi vain viittauksen alkuperäiseen tiedostoon ja säilyttää sen jälkeen erikseen vain ne tietolohkot, joita on muutettu luomisen jälkeen.
Voiko LVM-snapshot menettää voimassaolonsa?+
Kyllä, jos muutoksille varattu tallennustila loppuu, tilannekuva voi menettää voimassaolonsa ja muuttua käyttökelvottomaksi.
Luodaanko LVM-snapshotit oletuksena?+
Ei, ne on luotava kohdennetusti, esimerkiksi manuaalisesti tai automatisoitujen varmuuskopiointi- ja Update-prosessien avulla.

🔗 Aiheeseen liittyvät aiheet

LanCologne – Linux-rikostutkinta Köln

Tarvitsetteko ammattimaista rikosteknistä tutkimusta aiheesta „LVM-snapshotien rikostekninen analysointi"? LanCologne auttaa teitä digitaalisten todisteiden oikeudenkäyntikelpoisessa varmistamisessa sekä asiaankuuluvien Linux-artefaktien jäljitettävissä olevassa arvioinnissa.

Ota yhteyttä nyt