Informatique légale · Linux

Analyse forensic des indicateurs « immutable » et des attributs « chattr » – Évaluation des attributs avancés de protection du système de fichiers

L'outil chattr permet, sur certains systèmes de fichiers Linux, de définir des attributs avancés qui, par exemple, rendent un fichier immuable ou n'autorisent que l'écriture en ajout, indépendamment des droits d'accès habituels.

Demande sans engagement

Ces attributs peuvent aussi bien servir légitimement à protéger des fichiers système importants qu’être utilisés de manière ciblée par un pirate, par exemple pour protéger ses propres manipulations contre une suppression ultérieure par le propriétaire du système.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous vérifions si les fichiers et répertoires concernés comportent des attributs étendus et nous replaçons leur présence dans le contexte de l'enquête judiciaire, en évaluant notamment les éventuels abus.

Domaines d'application typiques

•Détection d'attributs de protection définis de manière abusive
•Analyse des raisons pour lesquelles certains fichiers n'ont pas pu être modifiés ou supprimés comme prévu
•Détection de tentatives de manipulation ciblées à l'aide d'attributs étendus
•Vérification de la configuration correcte des mesures de protection du système
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse des attributs dans chattr

Une fois la sauvegarde effectuée, les fichiers et répertoires concernés sont systématiquement analysés afin de détecter la présence d'attributs avancés définis. Les occurrences suspectes sont évaluées à la lumière d'autres éléments du système afin de distinguer un renforcement légitime de la sécurité du système d'une utilisation abusive.

En quoi l'analyse des attributs de chattr présente-t-elle un intérêt sur le plan de la criminalistique ?

Un attaquant peut utiliser de manière ciblée les attributs avancés pour pérenniser ses manipulations ou pour compliquer leur détection et leur suppression ultérieures par l'administrateur système.

À l'inverse, ces attributs peuvent également avoir été utilisés à juste titre pour renforcer la sécurité de fichiers système critiques ; c'est pourquoi chaque découverte doit être évaluée avec soin dans le contexte concret du système.

Foire aux questions

Quel est concrètement l'effet de l'attribut « immutable » ?+
Un fichier ainsi marqué ne peut être modifié ou supprimé, même par un utilisateur disposant des droits nécessaires, sans que cet attribut ait été préalablement supprimé.
Tous les systèmes de fichiers Linux prennent-ils en charge les attributs étendus ?+
Cependant, tous les systèmes de fichiers courants, tels que ext4 ou XFS, ne prennent pas en charge cette fonctionnalité.
La création d'un tel attribut peut-elle être datée de manière médico-légale ?+
Cela est en partie possible grâce à la modification des métadonnées correspondantes et aux journaux système complémentaires.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle sur le thème „ Analyse judiciaire des indicateurs immuables et des attributs chattr " ? LanCologne vous accompagne dans la sauvegarde des preuves numériques conforme aux exigences judiciaires ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant