Informatica forense · Linux

Analisi forense dei volumi Docker – Valutazione forense dei dati persistenti dei container

I volumi Docker servono alla memorizzazione persistente dei dati che devono essere conservati oltre il ciclo di vita di un singolo container, come ad esempio i contenuti dei database o i dati delle applicazioni.

Richiesta non vincolante

Mentre il livello del container scrivibile va perso quando si rimuove un container, i dati archiviati nei volumi vengono generalmente conservati e possono essere sottoposti ad analisi forense anche dopo la chiusura del container corrispondente.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Eseguiamo il backup e analizziamo i volumi Docker, compresi i dati delle applicazioni in essi contenuti, e li associamo ai container e alle applicazioni corrispondenti, al fine di ricostruire gli incidenti in modo tracciabile.

Campi di applicazione tipici

•Salvataggio dei dati persistenti dopo la rimozione di un container
•Analisi dei contenuti dei database nelle applicazioni containerizzate
•Rilevazione di accessi non autorizzati ai dati delle applicazioni memorizzati
•Ricostruzione delle modifiche apportate ai dati all'interno di un volume
•Risposta agli incidenti sui sistemi Linux
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge un'analisi dei volumi Docker

Una volta identificati i volumi rilevanti, i loro contenuti vengono sottoposti a backup forense. Successivamente, i dati in essi contenuti vengono analizzati in modo strutturato e, per quanto possibile, associati cronologicamente ai container e alle applicazioni che vi hanno avuto accesso in origine.

Perché l'analisi dei volumi Docker è rilevante dal punto di vista forense?

Poiché i volumi contengono spesso i dati applicativi effettivi e rilevanti dal punto di vista economico, come ad esempio i database dei clienti, il loro salvataggio e la loro analisi forense rivestono un’importanza fondamentale in molti casi.

A differenza del livello container, che è temporaneo, i dati del volume rimangono anche dopo la rimozione del container; per questo motivo rappresentano spesso la fonte di dati più affidabile a disposizione per un’eventuale indagine forense successiva.

Domande frequenti

I dati relativi al volume vengono conservati dopo la cancellazione di un container?+
Sì, a meno che non sia stato rimosso anche il volume stesso, i dati in esso memorizzati rimangono intatti indipendentemente dal contenitore.
È possibile che più container accedano allo stesso volume?+
Sì, si tratta di un caso d'uso comune, di cui si tiene debitamente conto nell'attribuzione forense degli accessi.
Come vengono acquisiti i dati relativi al volume a fini forensi?+
Tramite una copia completa e tracciabile dei file contenuti nel volume, nel rispetto della catena di custodia delle prove.

🔗 Argomenti correlati

LanCologne – Analisi forense di Linux a Colonia

Avete bisogno di un'analisi forense professionale sul tema „Analisi forense dei volumi Docker"? LanCologne vi supporta nel backup di prove digitali a prova di tribunale e nella valutazione tracciabile degli artefatti Linux rilevanti.

Contattaci subito