Informatica forense · Linux

Analisi forense di LVM – Classificazione corretta dei volumi logici

Il Logical Volume Manager (LVM) trasforma i supporti fisici in volumi logici flessibili e viene utilizzato su numerosi sistemi Linux Servern e Workstation per la gestione dello spazio di archiviazione. I gruppi di volumi raggruppano più volumi fisici, dai quali vengono creati i volumi logici.

Richiesta non vincolante

Ai fini dell'analisi forense è fondamentale ricostruire correttamente l'effettiva corrispondenza tra supporti fisici, gruppi di volumi e volumi logici prima di iniziare l'analisi vera e propria del file system. Una corrispondenza errata può portare a una valutazione incompleta o errata.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Ricostruiamo la struttura LVM a partire dai metadati dei gruppi di volumi e dei volumi logici, assegniamo correttamente i supporti fisici corrispondenti e prepariamo i volumi logici per la successiva analisi del file system.

Campi di applicazione tipici

•Ricostruzione di strutture di memoria Server complesse
•Analisi di sistemi con più gruppi di volumi
•Analisi degli snapshot LVM e del thin provisioning
•Preparazione dell'analisi del file system sui volumi logici
•Risposta agli incidenti sui sistemi Linux
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge un’analisi forense LVM

Dopo aver eseguito il backup di tutti i supporti fisici coinvolti, viene innanzitutto analizzata la struttura dei metadati LVM per ricostruire correttamente i gruppi di volumi e i volumi logici. Successivamente, i volumi logici vengono resi disponibili per l'ulteriore analisi del file system, senza modificare l'immagine originale.

Perché l'analisi LVM è rilevante dal punto di vista forense?

Molti sistemi Linux-Server utilizzano LVM per una gestione flessibile dello spazio di archiviazione, il che consente di distribuire i dati su più supporti fisici. Una corretta ricostruzione della struttura LVM è un prerequisito fondamentale per un’analisi completa del filesystem.

Se la struttura LVM non viene ricostruita correttamente, durante l'analisi alcune parti dei dati potrebbero sfuggire all'attenzione. Per questo motivo, prima di procedere con qualsiasi ulteriore analisi, l'assegnazione dei volumi viene verificata con attenzione.

Domande frequenti

Qual è la differenza tra “Volume Group” e “Logical Volume”?+
Un gruppo di volumi raggruppa i supporti fisici in un pool di memoria, dal quale vengono resi disponibili singoli volumi logici sotto forma di partizioni utilizzabili e di dimensioni flessibili.
Un volume logico può essere distribuito su più supporti di dati?+
Sì, un volume logico può utilizzare lo spazio su disco di più supporti fisici all'interno dello stesso gruppo di volumi.
Cosa succede se manca un supporto dati da un gruppo di volumi?+
Se manca un supporto dati, il gruppo di volumi potrebbe risultare incompleto o non attivabile. La diagnosi tecnica indica se è comunque possibile ricostruire i dati e, in caso affermativo, quali.

🔗 Argomenti correlati

LanCologne – Analisi forense di Linux a Colonia

Avete bisogno di un’analisi forense professionale relativa all„"analisi forense di LVM”? LanCologne vi supporta nel backup di prove digitali a prova di tribunale e nella valutazione tracciabile degli artefatti Linux rilevanti.

Contattaci subito