Informatica forense · Linux

Analisi forense del journal ext4 – Ricostruzione delle operazioni di scrittura e degli stati del sistema

Il journal ext4 registra i metadati e, a seconda della configurazione, anche le modifiche al contenuto dei file prima che vengano scritte in modo definitivo nel filesystem. Serve principalmente come protezione contro i crash del sistema, ma allo stesso tempo contiene tracce delle operazioni di scrittura più recenti che possono essere analizzate a fini forensi.

Richiesta non vincolante

Le voci del journal hanno una durata limitata, poiché quelle più vecchie vengono sovrascritte ciclicamente. La loro analisi richiede quindi un backup tempestivo e la conoscenza delle rispettive modalità del journal (Ordered, Writeback, Journal), poiché queste influenzano notevolmente il valore probatorio forense.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Estraiamo e interpretiamo le transazioni presenti nel journal, le ordiniamo cronologicamente e le confrontiamo con lo stato attuale del file system per ricostruire le operazioni di scrittura effettuate di recente o interrotte.

Campi di applicazione tipici

•Ricostruzione delle modifiche recenti al file system
•Analisi delle operazioni di scrittura interrotte a seguito di un crash
•Analisi dei tentativi di manomissione dei file di sistema
•Cronologia degli eventi di sistema
•Risposta agli incidenti sui sistemi Linux
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge un'analisi del journal ext4

Dopo il backup, viene innanzitutto determinata la modalità di journal configurata, poiché questa definisce l’ambito dei contenuti analizzabili. Le transazioni di journal esistenti vengono estratte, ordinate cronologicamente e confrontate con lo stato attuale del file system e con ulteriori timestamp. Le transazioni anomale o inattese vengono documentate separatamente.

Perché l'analisi dei log è rilevante dal punto di vista forense?

Il registro può contenere tracce effimere di operazioni di scrittura che altrimenti non sarebbero più visibili, ad esempio in caso di tentativi mirati di cancellazione o di manomissioni avvenuti poco prima del salvataggio. Fornisce quindi una fonte di conferma aggiuntiva e indipendente.

Poiché i contenuti del journal vengono sovrascritti ciclicamente, il momento in cui viene eseguito il backup è determinante per la sua attendibilità. Un backup effettuato in ritardo può comportare la perdita irrimediabile di tracce rilevanti presenti nel journal.

Domande frequenti

Cosa contiene il journal di ext4?+
A seconda della modalità di registro, contiene modifiche ai metadati e, in parte, al contenuto dei file, che vengono registrate prima della scrittura definitiva.
Per quanto tempo vengono conservate le voci del diario?+
Ciò dipende dall'attività di scrittura del sistema, poiché le voci più vecchie vengono sovrascritte ciclicamente. Un backup effettuato tempestivamente aumenta le probabilità di successo.
Il journal sostituisce un’analisi completa del file system?+
No. Il registro integra l'analisi standard del file system con informazioni aggiuntive limitate nel tempo, ma non la sostituisce.

🔗 Argomenti correlati

LanCologne – Analisi forense di Linux a Colonia

Avete bisogno di un'indagine forense professionale sull„"analisi forense del journal ext4”? LanCologne vi supporta nella raccolta di prove digitali a prova di tribunale e nell'analisi tracciabile degli artefatti Linux rilevanti.

Contattaci subito