Informatique légale · Linux

Analyse médico-légale du système de fichiers Btrfs – Évaluation appropriée des structures « copy-on-write »

Btrfs est un système de fichiers moderne de type « copy-on-write » qui prend en charge les sous-volumes, les instantanés, la gestion intégrée des volumes et le calcul de sommes de contrôle. Il est de plus en plus utilisé sur les ordinateurs de bureau et les systèmes Server, ainsi que dans les solutions NAS.

Demande sans engagement

Grâce au principe du « copy-on-write », les blocs de données ne sont pas directement écrasés en cas de modification, mais réécrits, tandis que les anciennes versions sont conservées, dans certaines circonstances, via des instantanés. D'un point de vue médico-légal, cela peut offrir des possibilités de reconstruction supplémentaires, mais aussi entraîner une complexité accrue.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les sous-volumes Btrfs, les instantanés existants ainsi que la structure interne des métadonnées, et vérifions quels états antérieurs des données peuvent encore être reconstitués à partir des instantanés ou des résidus de « copy-on-write ».

Domaines d'application typiques

•Analyse des sous-volumes et des instantanés Btrfs
•Reconstitution d'états antérieurs des fichiers à l'aide d'instantanés
•Analyse des systèmes NAS et des ordinateurs de bureau équipés de Btrfs
•Évaluation des résidus de données « copy-on-write »
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse médico-légale sur un système de fichiers Btrfs

Une fois la sauvegarde effectuée, les sous-volumes et les instantanés existants sont d'abord identifiés et répertoriés. La structure interne des métadonnées est ensuite analysée afin d'identifier les résidus de données liés au mécanisme « copy-on-write » ainsi que les états antérieurs de fichiers individuels. Les résultats sont ensuite mis en corrélation avec d'autres artefacts du système.

En quoi l'analyse Btrfs présente-t-elle un intérêt en matière de criminalistique ?

Les instantanés Btrfs permettent de conserver des états historiques d'un système présentant un intérêt pour l'analyse judiciaire, qui ne seraient plus disponibles sur des systèmes de fichiers classiques. Leur identification et leur analyse correctes peuvent considérablement améliorer la reconstruction.

Par ailleurs, le principe du « copy-on-write » nécessite une compréhension fondamentalement différente de la réécriture des données par rapport aux systèmes de fichiers classiques. Une évaluation pertinente nécessite donc des connaissances spécifiques sur Btrfs.

Foire aux questions

Qu'est-ce que le « copy-on-write » dans Btrfs ?+
En cas de modifications, les blocs de données ne sont pas directement écrasés, mais enregistrés à un nouvel emplacement, tandis que les versions antérieures peuvent, dans certains cas, être conservées sous forme d'instantanés.
Quelle est la valeur des instantanés Btrfs en matière de criminalistique ?+
Les instantanés existants peuvent fournir des informations supplémentaires permettant de reconstituer le déroulement chronologique et le contenu, à condition qu'ils aient existé au moment concerné.
Btrfs est-il répandu sur Servern ?+
Btrfs est de plus en plus utilisé, notamment sur les systèmes NAS et dans certaines distributions Server et de bureau, mais il est moins répandu que les systèmes de fichiers ext4 ou XFS.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire du système de fichiers Btrfs " ? LanCologne vous aide à effectuer une sauvegarde des preuves numériques conforme aux exigences judiciaires, ainsi qu'à procéder à une analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant