Informatica forense · Linux

Analisi forense degli attributi estesi (xattr) – Metadati aggiuntivi oltre agli attributi classici

Gli attributi estesi ampliano i metadati classici dei file con ulteriori coppie nome-valore che possono essere utilizzate dalle applicazioni, dai meccanismi di sicurezza o dal sistema stesso. Ne sono un esempio i contesti di sicurezza SELinux, le capacità o le informazioni sulla provenienza dei file scaricati.

Richiesta non vincolante

Poiché gli attributi estesi non vengono sempre letti per impostazione predefinita, possono contenere informazioni aggiuntive rilevanti dal punto di vista forense che, in caso di analisi superficiale, rischiano di passare inosservate.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Analizziamo sistematicamente gli attributi estesi disponibili e li classifichiamo in base ai rispettivi contesti di sicurezza, provenienza o utilizzo, al fine di ricavarne ulteriori informazioni rilevanti dal punto di vista forense.

Campi di applicazione tipici

•Analisi dei contesti di sicurezza SELinux
•Prova della provenienza dei file scaricati
•Analisi delle capacità dei singoli programmi
•Integrazione delle analisi classiche dei metadati
•Risposta agli incidenti sui sistemi Linux
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge un'analisi degli attributi estesi

Dopo il backup, i file e le directory rilevanti vengono sistematicamente controllati per verificare la presenza di attributi estesi. Gli attributi individuati vengono documentati e classificati nel rispettivo contesto di sicurezza o applicativo, al fine di ottenere ulteriori informazioni forensi.

Perché l’analisi xattr è rilevante dal punto di vista forense?

Gli attributi estesi possono contenere informazioni che vanno oltre i metadati classici dei file, ad esempio relative alla provenienza di un file o ai diritti di sicurezza assegnati. Talvolta vengono trascurati durante le analisi standard.

Per un'interpretazione corretta è necessaria la conoscenza dell'applicazione specifica o del meccanismo di sicurezza che ha impostato l'attributo. Per questo motivo, i risultati relativi agli xattr vengono sempre valutati nel contesto complessivo del sistema sottoposto ad analisi.

Domande frequenti

Cosa sono gli attributi estesi?+
Coppie nome-valore aggiuntive che possono essere associate a un file o a una directory oltre ai metadati classici del file.
Gli attributi estesi vengono salvati automaticamente?+
In caso di corretto backup forense dell’immagine grezza, questi dati vengono conservati, ma devono essere estratti in modo mirato per poter essere analizzati.
Quali meccanismi di sicurezza utilizzano gli attributi estesi?+
Tra le altre cose, SELinux per i contesti di sicurezza e vari programmi per l'identificazione della provenienza dei file.

🔗 Argomenti correlati

LanCologne – Analisi forense di Linux a Colonia

Avete bisogno di un’analisi forense professionale sull„"analisi forense degli attributi estesi (xattr)”? LanCologne vi supporta nel salvataggio di prove digitali a prova di tribunale e nella valutazione tracciabile degli artefatti Linux rilevanti.

Contattaci subito