IT-forensisch onderzoek · Linux

Forensische classificatie van verwijderde bestanden op Btrfs en XFS – gericht rekening houden met verschillen ten opzichte van ext4

Btrfs en XFS verschillen qua verwijderings- en toewijzingsgedrag aanzienlijk van ext4. Terwijl Btrfs dankzij ‘copy-on-write’ onder bepaalde omstandigheden extra mogelijkheden biedt om gegevens via snapshots te herstellen, wordt bij XFS vrijgekomen opslagruimte doorgaans sneller opnieuw gebruikt.

Vrijblijvend informeren

Het klakkeloos toepassen van verwachtingen die specifiek zijn voor ext4 op Btrfs of XFS leidt daarom vaak tot een verkeerde inschatting van de kans op succes. Elk bestandssysteem vereist een afzonderlijke technische beoordeling.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

Voor elk bestandssysteem beoordelen we afzonderlijk welke reconstructiemogelijkheden er zijn, bijvoorbeeld via Btrfs-snapshots, restanten van Copy-on-Write of overgebleven XFS-metadatafragmenten, en documenteren we de betreffende beperkingen op transparante wijze.

Typische toepassingsgebieden

•Beoordeling van de herstelbaarheid op moderne bestandssystemen
•Vergelijking van de kans op succes tussen verschillende bestandssystemen
•Onderzoek naar gerichte verwijdering op Server-bestandssystemen
•Advies voordat een omvangrijke reconstructie wordt opgedragen
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt de evaluatie van verwijderde gegevens op Btrfs en XFS

Na het maken van de back-up wordt eerst het specifieke bestandssysteem geïdentificeerd. Bij Btrfs wordt gecontroleerd of er bruikbare snapshots of restanten van Copy-on-Write aanwezig zijn. Bij XFS wordt onderzocht in hoeverre metadata- en gegevensblokken nog niet zijn hergebruikt. De betreffende resultaten worden op een traceerbare manier gedocumenteerd.

Waarom is deze indeling per bestandssysteem belangrijk?

Klanten gaan er vaak van uit dat verwijderde bestanden op dezelfde manier kunnen worden hersteld, ongeacht het gebruikte bestandssysteem. Deze aanname klopt technisch gezien niet en kan tot verkeerde verwachtingen leiden.

Een realistische, op het bestandssysteem afgestemde inschatting is een voorwaarde voor een deskundig advies en voorkomt onnodige inspanningen bij technisch kansloze pogingen tot reconstructie.

Veelgestelde vragen

Is het herstellen van gegevens op Btrfs eenvoudiger dan op ext4?+
Niet per se. Bestaande snapshots kunnen extra mogelijkheden bieden; zonder snapshots gelden vergelijkbare beperkingen als bij andere bestandssystemen.
Waarom wordt XFS beschouwd als moeilijker voor gegevensherstel?+
Vrijgegeven geheugengebieden worden bij XFS doorgaans sneller hergebruikt, waardoor de tijdspanne voor een succesvolle reconstructie korter kan zijn.
Kan er vooraf een betrouwbaar slagingspercentage worden genoemd?+
Nee. Een betrouwbare inschatting is pas mogelijk na een technische diagnose van het concrete geval.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „Forensische classificatie van verwijderde bestanden op Btrfs en XFS"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze vastleggen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen