Informatique légale · Linux

Analyse médico-légale d'OverlayFS – Évaluation correcte des systèmes de fichiers en couches

OverlayFS combine plusieurs couches de répertoires en un système de fichiers unique, transparent pour les applications. Il est fréquemment utilisé par les environnements d'exécution de conteneurs tels que Docker, ainsi que par les systèmes Linux en production.

Demande sans engagement

Pour l'analyse forensic, la distinction entre la couche inférieure (Lower-Layer) inaltérable et la couche supérieure (Upper-Layer) inscriptible est déterminante, car seule la couche supérieure contient les modifications apportées pendant l'exécution.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous identifions les couches OverlayFS concernées, séparons les contenus des couches inférieures et supérieures, puis analysons de manière ciblée les modifications apportées à la couche supérieure pendant l'exécution.

Domaines d'application typiques

•Étude des environnements d'exécution conteneurisés
•Analyse des systèmes Linux en direct et des systèmes de secours
•Reconstitution des variations liées à la durée d'exécution
•Séparation de l'image de base et des données d'exécution
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse OverlayFS

Une fois la sauvegarde effectuée, la structure en couches du montage OverlayFS est d'abord déterminée. Les couches inférieures et supérieures sont analysées séparément, l'accent étant mis sur les modifications contenues dans la couche supérieure et effectuées pendant l'exécution. Les résultats sont mis en corrélation avec le contexte du conteneur ou du système correspondant.

En quoi l'analyse OverlayFS présente-t-elle un intérêt en matière de criminalistique ?

Les systèmes de conteneurs et les systèmes en production utilisent OverlayFS pour préserver les images de base et enregistrer séparément les modifications apportées lors de l'exécution. Ces modifications sont souvent d'un intérêt capital pour les analyses médico-légales.

Si la structure des calques n'est pas correctement prise en compte, le contenu de l'image de base peut être interprété à tort comme des modifications spécifiques à l'exécution, ou inversement. Une séparation minutieuse est donc nécessaire.

Foire aux questions

Quelle est la différence entre la couche inférieure et la couche supérieure ?+
La couche inférieure est généralement immuable et contient les données de base, tandis que la couche supérieure intègre les modifications apportées pendant l'exécution.
OverlayFS est-il utilisé par Docker ?+
Oui, OverlayFS et les pilotes de stockage qui s'appuient sur cette technologie comptent parmi les pilotes de stockage les plus répandus pour les images et les environnements d'exécution de conteneurs.
Les modifications sont-elles conservées après la fermeture d'un conteneur ?+
Cela dépend de la configuration. Sans volume persistant, les modifications apportées aux couches supérieures peuvent être perdues lors de la suppression du conteneur.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire d'OverlayFS " ? LanCologne vous aide à sécuriser les preuves numériques de manière à ce qu'elles soient recevables devant les tribunaux, ainsi qu'à analyser de manière traçable les artefacts Linux pertinents.

Nous contacter dès maintenant