Informatique légale · Linux
Analyse médico-légale d'une partition de swap – Examen du contenu de la mémoire virtuelle déportée
La partition swap ou le fichier swap sert à transférer temporairement, en cas de besoin, le contenu de la mémoire vive vers un support de stockage. Ce dernier peut ainsi contenir des fragments de mémoire de processus, de mots de passe ou de données d'application qui ne sont plus disponibles dans la mémoire vive elle-même.
Étant donné que le contenu des fichiers swap n'est ni structuré ni cohérent de manière permanente, son évaluation nécessite une analyse minutieuse de zones de données non structurées, comparable à une analyse de données brutes sans système de fichiers défini.
Pourquoi LanCologne ?
Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.
L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.
Nos services
Nous sauvegardons la partition swap ou le fichier swap sous forme d'image brute, puis nous analysons de manière ciblée les zones de données qu'ils contiennent à la recherche de fragments pertinents sur le plan médico-légal, tels que des fragments de texte, des identifiants de connexion ou des traces d'utilisation d'applications.
Domaines d'application typiques
Voici comment se déroule une analyse de swap
Une fois la partition ou le fichier swap sauvegardé sous forme d'image brute, la zone de données est analysée à l'aide de la reconnaissance de motifs et de recherches ciblées afin d'identifier les fragments pertinents d'un point de vue médico-légal. Dans la mesure du possible, les fragments détectés sont mis en relation, tant sur le plan temporel que sur celui du contenu, avec d'autres artefacts du système.
En quoi l'analyse du swap présente-t-elle un intérêt sur le plan judiciaire ?
Les zones de swap peuvent contenir des fragments de données qui n'existent plus dans la mémoire vive au moment de l'analyse, par exemple après la fermeture d'un processus. Elles constituent donc un complément précieux à l'analyse classique du système de fichiers.
Les contenus des swaps étant non structurés et incomplets, les résultats doivent toujours être considérés comme des indices et non comme des preuves définitives. Il est donc nécessaire de les replacer avec soin dans leur contexte global.
Foire aux questions
LanCologne – Analyse informatique légale sous Linux à Cologne
Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire d'une partition swap " ? LanCologne vous aide à effectuer une sauvegarde des preuves numériques conforme aux exigences judiciaires, ainsi qu'à procéder à une analyse traçable des artefacts Linux pertinents.
En lien avec ce thème
- Classification médico-légale des systèmes de fichiers tmpfs et basés sur la RAM – Évaluation correcte des zones de mémoire volatile
- Récupération judiciaire de fichiers supprimés sur un système de fichiers ext4 – Possibilités et limites de la reconstruction
- Analyse médico-légale de la structure des inodes – Utilisation des métadonnées comme source principale d'informations médico-légales
- Analyse médico-légale des attributs étendus (xattr) – Des métadonnées supplémentaires au-delà des attributs classiques