IT-Forensik · Linux

KVM/QEMU-Virtualisierung forensisch analysieren – Virtuelle Maschinen unter Linux forensisch untersuchen

KVM in Verbindung mit QEMU bildet die verbreitetste native Virtualisierungslösung unter Linux und ermöglicht den Betrieb vollständiger virtueller Maschinen mit eigenen, in der Regel als Dateien vorliegenden virtuellen Festplatten.

Demande sans engagement

Sowohl die Konfiguration der virtuellen Maschine als auch deren virtuelle Festplatten und gegebenenfalls vorhandene Snapshots stellen eigenständige forensische Untersuchungsgegenstände dar.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir sichern und analysieren KVM/QEMU-Konfigurationen, virtuelle Festplattenabbilder und vorhandene Snapshots und führen bei Bedarf eine vollständige forensische Untersuchung der enthaltenen virtuellen Systeme durch.

Domaines d'application typiques

•Forensische Sicherung und Analyse virtueller Maschinen
•Untersuchung kompromittierter Virtualisierungsumgebungen
•Auswertung vorhandener Snapshots zur Rekonstruktion historischer Systemzustände
•Nachweis nicht autorisiert erstellter virtueller Maschinen
•Incident Response auf Linux-Systemen
•Expertises judiciaires et extrajudiciaires

So läuft eine KVM/QEMU-Analyse ab

Nach der Sicherung der Konfigurationsdateien sowie der virtuellen Festplattenabbilder werden diese, sofern erforderlich, forensisch eingebunden und wie ein eigenständiges System untersucht. Vorhandene Snapshots werden gesondert auf frühere Systemzustände ausgewertet.

Warum ist die KVM/QEMU-Analyse forensisch relevant?

Virtuelle Maschinen können ebenso wie physische Systeme Ziel oder Ausgangspunkt eines Angriffs sein, wobei ihre Konfiguration und vorhandene Snapshots zusätzliche forensische Anhaltspunkte liefern können, die bei physischen Systemen nicht existieren.

Insbesondere nicht autorisiert erstellte oder verschleierte virtuelle Maschinen auf einem Virtualisierungshost können auf einen Missbrauch der Infrastruktur hindeuten und werden entsprechend gezielt gesucht.

Foire aux questions

Wie werden virtuelle Festplattenabbilder forensisch eingebunden?+
Über spezialisierte, schreibgeschützte Einbindungsverfahren, die eine Untersuchung ohne Veränderung des Originalabbilds ermöglichen.
Können Snapshots frühere Systemzustände vollständig rekonstruieren?+
In vielen Fällen ja, abhängig vom verwendeten Snapshot-Format und dem Zeitpunkt der Erstellung.
Ist eine Live-Analyse einer laufenden virtuellen Maschine möglich?+
Ja, vergleichbar mit einer Live-Erfassung eines physischen Systems, unter Berücksichtigung der virtualisierungsspezifischen Besonderheiten.

🔗 Sujets connexes

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „KVM/QEMU-Virtualisierung forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nous contacter dès maintenant