IT-Forensik · Linux

OverlayFS forensisch analysieren – Geschichtete Dateisysteme korrekt auswerten

OverlayFS kombiniert mehrere Verzeichnisschichten zu einem gemeinsamen, für Anwendungen transparenten Dateisystem. Es wird häufig von Container-Laufzeitumgebungen wie Docker sowie von Live-Linux-Systemen eingesetzt.

Pyydä sitoumukseton tarjous

Für die forensische Analyse ist die Unterscheidung zwischen unveränderlichem Lower-Layer und beschreibbarem Upper-Layer entscheidend, da nur der Upper-Layer die während der Laufzeit vorgenommenen Änderungen enthält.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkinta suoritetaan periaatteessa yksinomaan rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusvoimaisesti.

Palvelumme

Wir identifizieren die beteiligten OverlayFS-Schichten, trennen Lower- und Upper-Layer-Inhalte und werten gezielt die während der Laufzeit vorgenommenen Änderungen im Upper-Layer aus.

Tyypillisiä käyttökohteita

•Untersuchung containerisierter Laufzeitumgebungen
•Analyse von Live-Linux- und Rettungssystemen
•Rekonstruktion laufzeitspezifischer Änderungen
•Trennung von Basis-Image und Laufzeitdaten
•Incident Response auf Linux-Systemen
•Oikeudelliset ja oikeuden ulkopuoliset asiantuntijalausunnot

So läuft eine OverlayFS-Analyse ab

Nach der Sicherung wird zunächst die Layer-Struktur des OverlayFS-Mounts bestimmt. Lower- und Upper-Layer werden getrennt ausgewertet, wobei der Fokus auf den im Upper-Layer enthaltenen, während der Laufzeit vorgenommenen Änderungen liegt. Die Ergebnisse werden mit dem jeweiligen Container- oder Systemkontext korreliert.

Warum ist die OverlayFS-Analyse forensisch relevant?

Container- und Live-Systeme nutzen OverlayFS, um Basis-Images unverändert zu lassen und Laufzeitänderungen gesondert zu erfassen. Diese Laufzeitänderungen sind für forensische Untersuchungen häufig von zentralem Interesse.

Wird die Layer-Struktur nicht korrekt berücksichtigt, können Basis-Image-Inhalte fälschlich als laufzeitspezifische Änderungen interpretiert werden oder umgekehrt. Eine sorgfältige Trennung ist deshalb notwendig.

Usein kysyttyjä kysymyksiä

Was ist der Unterschied zwischen Lower- und Upper-Layer?+
Der Lower-Layer ist üblicherweise unveränderlich und enthält die Basisdaten, während der Upper-Layer die während der Laufzeit vorgenommenen Änderungen aufnimmt.
Wird OverlayFS von Docker genutzt?+
Ja, OverlayFS beziehungsweise darauf aufbauende Storage-Driver gehören zu den verbreiteten Speichertreibern für Container-Images und -Laufzeiten.
Bleiben Änderungen nach Beenden eines Containers erhalten?+
Das hängt von der Konfiguration ab. Ohne persistentes Volume können Upper-Layer-Änderungen beim Entfernen des Containers verloren gehen.

🔗 Aiheeseen liittyvät aiheet

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „OverlayFS forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Ota yhteyttä nyt