IT-forensisch onderzoek · Linux

Forensische analyse van ZFS-snapshots – Eerdere datasets op een traceerbare manier reconstrueren

ZFS-snapshots leggen een schrijfbeveiligde toestand van een dataset op een bepaald tijdstip vast en worden vaak gebruikt voor back-ups, rollbacks of replicatie. Ze vormen een integraal onderdeel van de ZFS-architectuur.

Vrijblijvend informeren

Aangezien snapshots onveranderlijke verwijzingen naar eerdere gegevensstanden vormen, kunnen ze forensisch worden gebruikt om bestanden of configuraties op een bepaald tijdstip te reconstrueren, zelfs als deze in de huidige dataset al zijn gewijzigd.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We identificeren bestaande ZFS-snapshots, rangschikken ze chronologisch en vergelijken relevante datasets tussen verschillende tijdstippen om veranderingen op een traceerbare manier te documenteren.

Typische toepassingsgebieden

•Reconstructie van eerdere toestanden van datasets
•Vergelijking van bestandsversies over meerdere snapshots
•Onderzoek naar geautomatiseerde back-up- en replicatiemechanismen
•Bewijs van achteraf aangebrachte wijzigingen in opslagconfiguraties
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een analyse van een ZFS-snapshot

Na het maken van de back-up worden alle bestaande ZFS-snapshots weergegeven en op tijd gerangschikt. Vervolgens worden de relevante datasets vergeleken tussen de verschillende snapshot-tijdstippen en de huidige status, om wijzigingen nauwkeurig vast te leggen.

Waarom is de analyse van ZFS-snapshots forensisch relevant?

Snapshots kunnen bewijsmateriaal bewaren dat in de huidige staat van de dataset al niet meer aanwezig is. Ze vormen daarmee een extra, vaak onderschatte bron van bewijs in op ZFS gebaseerde omgevingen.

De betrouwbaarheid hangt af van de betreffende configuratie en frequentie van de snapshots. Of er snapshots zijn gemaakt en met welke tussenpozen, moet per geval worden gecontroleerd.

Veelgestelde vragen

Wat is een ZFS-snapshot?+
Een snapshot is een onveranderlijke, gerefereerde toestand van een dataset op een bepaald tijdstip, die onafhankelijk van latere wijzigingen kan worden geanalyseerd.
Worden ZFS-snapshots automatisch aangemaakt?+
Niet per se. Of ze aanwezig zijn, hangt af van de betreffende systeemconfiguratie en de gebruikte automatiseringstools.
Kunnen ZFS-snapshots achteraf worden verwijderd?+
Ja. Of er toch nog restanten zijn die forensisch kunnen worden geanalyseerd, hangt af van het tijdstip waarop de back-up is gemaakt en van de configuratie van de pool.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „forensische analyse van ZFS-snapshots"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze vastleggen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen