Informatique légale · Linux

Analyse médico-légale des instantanés Btrfs – Reconstitution ciblée d'états historiques du système

Les instantanés Btrfs sont des références, en lecture seule ou modifiables, à un état donné d'un sous-volume à un moment précis. Ils sont souvent utilisés pour les sauvegardes, les points de restauration du système ou les retours en arrière effectués par les gestionnaires de paquets.

Demande sans engagement

Les instantanés existants peuvent être utilisés à des fins d'analyse forensic pour reconstituer des fichiers, des configurations ou des états du système à un moment antérieur, même si ceux-ci ont déjà été modifiés ou supprimés dans l'état actuel.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous identifions les instantanés Btrfs existants, les classons par ordre chronologique et comparons les fichiers et configurations pertinents entre les différents moments d'instantané afin de documenter les modifications de manière traçable.

Domaines d'application typiques

•Reconstitution d'états antérieurs du système
•Comparaison des versions de fichiers entre plusieurs instantanés
•Étude des mécanismes automatisés de sauvegarde et de restauration
•Détection des modifications apportées a posteriori aux fichiers de configuration
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'analyse d'un instantané Btrfs

Une fois la sauvegarde effectuée, tous les instantanés existants sont répertoriés et classés par ordre chronologique. Les fichiers et répertoires concernés sont ensuite comparés entre les différents instants des instantanés et l'état actuel, afin de documenter précisément les modifications.

Pourquoi l'analyse des instantanés présente-t-elle un intérêt sur le plan médico-légal ?

Les instantanés permettent de conserver des éléments de preuve qui ne sont déjà plus disponibles dans l'état actuel du système, par exemple à la suite d'une manipulation ou d'une suppression ultérieure. Ils constituent ainsi une source de preuve supplémentaire, souvent sous-estimée.

La pertinence de ces informations dépend toutefois fortement de la configuration et de la fréquence des instantanés. Tous les systèmes ne créent pas automatiquement des instantanés ; il convient donc de vérifier leur présence au cas par cas.

Foire aux questions

Qu'est-ce qu'un instantané Btrfs ?+
Un instantané est un état référencé d'un sous-volume à un moment donné, qui peut être analysé indépendamment des modifications ultérieures.
Les instantanés sont-ils créés automatiquement ?+
Pas nécessairement. Leur présence dépend de la configuration du système, par exemple via Snapper ou des intégrations avec des gestionnaires de paquets.
Peut-on supprimer des instantanés a posteriori ?+
Oui, les instantanés peuvent être supprimés. La possibilité d'analyser les résidus à des fins médico-légales dépend du moment où la sauvegarde a été effectuée et du degré de réutilisation de l'espace de stockage.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire des instantanés Btrfs " ? LanCologne vous accompagne dans la sauvegarde conforme aux exigences judiciaires des preuves numériques ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant