Informatique légale · Linux

Analyse médico-légale de la structure des inodes – Utilisation des métadonnées comme source principale d'informations médico-légales

Les inodes stockent les métadonnées essentielles d'un fichier, notamment sa taille, ses droits d'accès, son propriétaire ainsi que les horodatages d'accès, de modification et de changement d'état. Le nom du fichier lui-même est en revanche stocké dans l'entrée correspondante du répertoire, et non dans l'inode.

Demande sans engagement

Cette distinction entre l'inode et l'entrée de répertoire revêt une importance particulière en matière d'analyse judiciaire, car plusieurs entrées de répertoire peuvent pointer vers le même inode (liens physiques) et les inodes peuvent dans un premier temps subsister même après la suppression d'une entrée de répertoire.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons systématiquement les métadonnées des inodes, reconstituons des séquences cohérentes en termes d'horodatage et classons les informations des inodes même lorsque les entrées de répertoire associées n'existent plus.

Domaines d'application typiques

•Reconstitution des dates et heures d'accès et de modification
•Analyse des structures de liens physiques
•Attribution des inodes orphelins sans entrée de répertoire
•Analyse de l'historique des autorisations et des propriétaires
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse d'inode

Une fois la sauvegarde effectuée, les métadonnées pertinentes des inodes sont systématiquement extraites et recoupées avec les entrées de répertoire correspondantes. Les inodes orphelins ne disposant pas d'entrée de répertoire actuelle font l'objet d'une analyse distincte afin de reconstituer d'éventuelles affectations antérieures.

Pourquoi l'analyse des inodes présente-t-elle un intérêt en matière de criminalistique ?

Les métadonnées des inodes fournissent des informations précises sur les horodatages et les autorisations, qui sont essentielles à la reconstitution chronologique des événements du système. Elles constituent souvent la base de conclusions médico-légales plus approfondies.

L'interprétation des horodatages nécessite toutefois de bien connaître les options de montage et la configuration du noyau, car celles-ci peuvent influencer le comportement de mise à jour de certains horodatages. Cet aspect est pris en compte lors de chaque analyse.

Foire aux questions

Quels horodatages contient un inode ?+
En général, l'heure d'accès (atime), l'heure de modification du contenu (mtime) et l'heure de modification de l'état des métadonnées (ctime), en fonction du système de fichiers et de la configuration.
Où le nom du fichier est-il enregistré ?+
Le nom du fichier est stocké dans l'entrée de répertoire, et non dans l'inode lui-même. Un inode peut être référencé par plusieurs entrées de répertoire.
Qu'est-ce qu'un inode orphelin ?+
Un inode dont l'entrée de répertoire associée a été supprimée, mais dont le contenu n'a peut-être pas encore été écrasé.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire de la structure des inodes " ? LanCologne vous aide à sécuriser les preuves numériques de manière à ce qu'elles soient recevables devant les tribunaux, ainsi qu'à analyser de manière traçable les artefacts Linux pertinents.

Nous contacter dès maintenant