IT forenzika · Linux

Forenzička analiza nepromjenjivih oznaka i chattr atributa – Procjena naprednih atributa zaštite datotečnog sustava

Alat `chattr` može se koristiti na određenim Linux datotečnim sustavima za postavljanje proširenih atributa koji, na primjer, datoteku čine nepromjenjivom ili omogućuju samo dodavanje, bez obzira na standardna ovlaštenja pristupa.

Upitajte bez obaveze

Takve atribute može se legitimno koristiti za zaštitu važnih sistemskih datoteka, ali ih napadač također može iskoristiti – na primjer, kako bi zaštitio svoje neovlaštene izmjene od uklanjanja od strane stvarnog vlasnika sustava kasnije.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Pregledavamo relevantne datoteke i direktorije radi utvrđivanja svih postavljenih proširenih atributa te kontekstualiziramo njihovu prisutnost u forenzičkoj istrazi, uključujući procjenu mogućeg zlouporabe.

Tipična područja primjene

•Otkrivanje neispravno postavljenih zaštitnih atributa
•Istraga o tome zašto se određene datoteke nisu mogle mijenjati ili brisati kako se očekivalo
•Otkrivanje ciljanih pokušaja manipulacije pomoću proširenih atributa
•Provjera ispravno konfiguriranih sigurnosnih mjera sustava
•Odgovor na incidente na Linux sustavima
•Sudski i nerasudski vještački nalazi

Ovako funkcionira analiza atributa chattr.

Nakon dovršetka sigurnosne kopije, relevantne datoteke i direktoriji sustavno se provjeravaju na postojanje postavljenih proširenih atributa. Svi sumnjivi nalazi procjenjuju se u kontekstu ostalih sustavnih artefakata kako bi se razlikovali legitimno ojačavanje sustava od zlonamjerne upotrebe.

Zašto je analiza atributa chattr relevantna u forenzičkom kontekstu?

Napadač može ciljano koristiti proširene atribute kako bi trajno osigurao vlastite manipulacije ili kako bi administratoru sustava otežao njihovo otkrivanje i uklanjanje kasnije.

Suprotno tome, takve su se značajke također mogle legitimno koristiti za ojačavanje ključnih sistemskih datoteka, zbog čega svako takvo otkriće treba pažljivo procijeniti u specifičnom kontekstu sustava.

Često postavljana pitanja

Što točno radi atribut `immutable`?+
Datoteka označena na ovaj način ne može se mijenjati niti brisati, čak ni od strane korisnika s dovoljnim ovlastima, bez prethodnog uklanjanja atributa.
Podržavaju li svi Linuxovi datotečni sustavi proširene atribute?+
Međutim, ne podržavaju sve uobičajene datotečne sustave, poput ext4 ili XFS, ovu značajku.
Može li se forenzički utvrditi vrijeme postavljanja takvog atributa?+
Ovo je u određenoj mjeri moguće putem povezanih promjena metapodataka i dodatnih zapisnika sustava.

🔗 Povezane teme

LanCologne – Forenzika Linuxa u Kölnu

Trebate li profesionalnu forenzičku istragu „forenzičke analize nepremjenjivih oznaka i chattr atributa"? LanCologne vam može pomoći u pravno prihvatljivom očuvanju digitalnih dokaza i u praćenoj analizi relevantnih Linux artefakata.

Kontaktirajte nas odmah