Informatique légale · Linux

Analyse médico-légale des instantanés LVM – Évaluation de l'état historique des volumes

Les instantanés LVM permettent de conserver l'état d'un volume logique à un moment donné et sont souvent créés avant des modifications du système, des opérations Update ou des sauvegardes. Ils reposent sur un mécanisme similaire à celui du « copy-on-write ».

Demande sans engagement

Étant donné qu’un instantané LVM ne conserve séparément que les blocs de données modifiés depuis sa création, son espace de stockage disponible est limité et il peut devenir invalide lorsqu’il est épuisé. Il convient d’en tenir compte lors de l’évaluation médico-légale de la disponibilité et de l’intégrité des données.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous identifions les instantanés LVM existants ou référencés dans les métadonnées, vérifions leur validité et analysons les états historiques des données qu'ils contiennent par rapport au volume logique actuel.

Domaines d'application typiques

•Reconstitution des états antérieurs du système avant Updates
•Étude des instantanés de sauvegarde automatisés
•Comparaison des données avant et après les modifications apportées au système
•Évaluation de la capacité et de la validité des instantanés
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse d'instantané LVM

Une fois la sauvegarde effectuée, les instantanés LVM existants sont identifiés et leur validité est vérifiée, car un instantané épuisé peut devenir invalide. Les blocs de données qu’ils contiennent sont ensuite comparés au volume logique actuel afin de documenter précisément les modifications.

En quoi l'analyse des instantanés LVM présente-t-elle un intérêt sur le plan de la criminalistique ?

Un instantané créé avant une modification critique du système peut conserver l'état de celui-ci juste avant un incident et fournir ainsi un précieux point de référence à des fins d'analyse judiciaire.

Les instantanés LVM pouvant devenir invalides lorsque l'espace de stockage est limité, leur disponibilité n'est pas garantie. Leur utilité effective est donc vérifiée au cas par cas.

Foire aux questions

Comment fonctionne techniquement un instantané LVM ?+
Lors de la création, il n'enregistre dans un premier temps qu'une référence à l'original, puis ne conserve séparément que les blocs de données modifiés depuis la création.
Un instantané LVM peut-il devenir invalide ?+
Oui, lorsque l'espace de stockage réservé aux modifications est épuisé, l'instantané peut devenir invalide et inutilisable.
Les instantanés LVM sont-ils créés par défaut ?+
Non, elles doivent être créées de manière ciblée, par exemple manuellement ou via des processus automatisés de sauvegarde et de Update.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle sur „ l'analyse judiciaire des instantanés LVM " ? LanCologne vous accompagne dans la sauvegarde, conforme aux exigences judiciaires, des preuves numériques ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant