IT-forensisch onderzoek · Linux

Forensische analyse van Extended Attributes (xattr) – Aanvullende metadata die verder gaan dan de klassieke attributen

Uitgebreide attributen vullen de klassieke bestandsmetadata aan met extra naam-waarde-paren, die door applicaties, beveiligingsmechanismen of het systeem zelf kunnen worden gebruikt. Voorbeelden hiervan zijn SELinux-beveiligingscontexten, capabilities of herkomstgegevens van gedownloade bestanden.

Vrijblijvend informeren

Aangezien uitgebreide attributen niet altijd standaard worden uitgelezen, kunnen ze forensisch relevante aanvullende informatie bevatten die bij een oppervlakkig onderzoek gemakkelijk over het hoofd wordt gezien.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We analyseren bestaande Extended Attributes systematisch en ordenen ze in de betreffende veiligheids-, herkomst- of toepassingscontexten om aanvullende forensisch relevante informatie te verkrijgen.

Typische toepassingsgebieden

•Analyse van SELinux-beveiligingscontexten
•Bewijs van de herkomst van gedownloade bestanden
•Onderzoek naar de mogelijkheden van afzonderlijke programma's
•Aanvulling op klassieke metadatanalyses
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een analyse van de uitgebreide attributen

Na het maken van de back-up worden relevante bestanden en mappen systematisch gecontroleerd op aanwezige uitgebreide attributen. Gevonden attributen worden gedocumenteerd en ingedeeld in de betreffende beveiligings- of toepassingscontext om aanvullende forensische inzichten te verkrijgen.

Waarom is de xattr-analyse forensisch relevant?

Uitgebreide attributen kunnen informatie bevatten die verder gaat dan de klassieke metagegevens van een bestand, bijvoorbeeld over de herkomst van een bestand of over toegewezen beveiligingsrechten. Bij standaardonderzoeken worden ze soms over het hoofd gezien.

Voor een juiste interpretatie is kennis vereist van de betreffende toepassing of het beveiligingsmechanisme dat het attribuut heeft ingesteld. Daarom worden xattr-bevindingen altijd beoordeeld in de totale context van het onderzochte systeem.

Veelgestelde vragen

Wat zijn uitgebreide attributen?+
Extra naam-waarde-paren die, naast de standaard bestandsmetadata, aan een bestand of map kunnen worden toegevoegd.
Worden uitgebreide attributen automatisch opgeslagen?+
Bij een correcte forensische back-up van de ruwe image blijven deze behouden, maar moeten ze voor de analyse gericht worden uitgelezen.
Welke beveiligingsmechanismen maken Extended Attributes gebruik van?+
Onder andere SELinux voor beveiligingscontexten en diverse programma’s om de herkomst van bestanden aan te duiden.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar het „forensisch analyseren van Extended Attributes (xattr)"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze veiligstellen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen