Informatique légale · Linux

Classification médico-légale des systèmes de fichiers tmpfs et basés sur la RAM – Évaluation correcte des zones de mémoire volatile

tmpfs und vergleichbare RAM-basierte Dateisysteme speichern Daten ausschließlich im Arbeitsspeicher, um Zugriffe zu beschleunigen. Sie werden unter Linux häufig für temporäre Verzeichnisse wie /tmp oder /run verwendet.

Demande sans engagement

Da tmpfs-Inhalte grundsätzlich nicht persistent gespeichert werden, gehen sie beim Herunterfahren oder Neustart des Systems verloren. Für eine forensische Auswertung ist deshalb regelmäßig eine Live-Sicherung des Arbeitsspeichers erforderlich, sofern das System noch läuft.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir prüfen bei laufenden Systemen, welche forensisch relevanten Inhalte sich in tmpfs-basierten Verzeichnissen befinden, und sichern diese im Rahmen einer Live-Erfassung, sofern dies fachlich vertretbar und mit dem Auftraggeber abgestimmt ist.

Domaines d'application typiques

•Sicherung temporärer Daten bei laufenden Systemen
•Untersuchung von Anwendungen mit temporären Arbeitsverzeichnissen
•Bewertung containerbasierter tmpfs-Mounts
•Einordnung scheinbar verschwundener Dateien nach einem Neustart
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

So läuft die Einordnung von tmpfs-Inhalten ab

Bei einem noch laufenden System wird zunächst geprüft, welche tmpfs-Mounts vorhanden sind und welche Inhalte sie tragen. Sofern fachlich vertretbar, werden relevante Bereiche im Rahmen einer Live-Erfassung gesichert, wobei die dabei unvermeidbaren Zustandsänderungen dokumentiert werden. Bei bereits heruntergefahrenen Systemen wird der Verlust dieser Daten technisch nachvollziehbar erläutert.

Warum ist die Einordnung von tmpfs forensisch relevant?

Viele Anwendungen und Container nutzen tmpfs für temporäre Arbeitsdaten, die forensisch relevant sein können, aber nach einem Neustart unwiederbringlich verloren sind. Die korrekte Einordnung verhindert falsche Erwartungen an die Wiederherstellbarkeit.

Wird ein System vor einer Sicherung heruntergefahren, können dort ausschließlich vorgehaltene Daten endgültig verloren gehen. Dies unterstreicht die Bedeutung einer frühzeitigen fachkundigen Einschätzung.

Foire aux questions

Bleiben tmpfs-Daten nach einem Neustart erhalten?+
Nein, tmpfs-Inhalte werden ausschließlich im Arbeitsspeicher gehalten und gehen beim Herunterfahren oder Neustart grundsätzlich verloren.
Kann tmpfs nachträglich ausgelesen werden?+
Nach einem Neustart in der Regel nicht mehr. Eine Sicherung ist nur möglich, solange das System noch läuft.
Nutzen Container häufig tmpfs?+
Ja, tmpfs-Mounts werden häufig für temporäre Arbeitsverzeichnisse in Containern eingesetzt, etwa für Caches oder Sitzungsdaten.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Sie benötigen eine professionelle forensische Untersuchung zu „tmpfs und RAM-basierte Dateisysteme forensisch einordnen"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nous contacter dès maintenant