IT-Forensik · Linux

Docker-Images forensisch analysieren – Herkunft und Inhalt von Container-Images nachvollziehen

Docker-Images bilden die schichtweise aufgebaute Grundlage für Container und enthalten sowohl die eigentliche Anwendungssoftware als auch alle zugehörigen Abhängigkeiten in Form einzelner, aufeinander aufbauender Layer.

Vrijblijvend informeren

Die Analyse eines Images kann Aufschluss darüber geben, welche Software und Konfiguration in einem Container tatsächlich zur Verfügung stand, unabhängig davon, ob der eigentliche Container noch existiert.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Onze diensten

Wir untersuchen Docker-Images einschließlich ihrer einzelnen Layer, extrahieren enthaltene Software- und Konfigurationsbestandteile und prüfen die Herkunft eines Images anhand verfügbarer Metadaten.

Typische toepassingsgebieden

•Untersuchung der Herkunft und Integrität eingesetzter Images
•Identifikation von Schadsoftware in Container-Images
•Rekonstruktion des Anwendungszustands zu einem bestimmten Zeitpunkt
•Prüfung auf unautorisiert modifizierte Basis-Images
•Incident Response auf Linux-Systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

So läuft eine Docker-Image-Analyse ab

Nach der Sicherung des betreffenden Images werden dessen einzelne Layer extrahiert und auf enthaltene Dateien, Software und Konfigurationen untersucht. Verfügbare Metadaten zur Image-Herkunft werden mit dokumentierten oder erwarteten Quellen abgeglichen.

Warum ist die Docker-Image-Analyse forensisch relevant?

Ein manipuliertes oder aus unsicherer Quelle bezogenes Image kann bereits vor der eigentlichen Container-Ausführung Schadsoftware enthalten, weshalb die Image-Analyse einen eigenständigen forensischen Untersuchungsgegenstand darstellt.

Da ein Image auch nach dem Entfernen zugehöriger Container weiterhin lokal oder in einer Registry vorhanden sein kann, ermöglicht dessen Analyse mitunter Rückschlüsse, die anhand des Containers allein nicht mehr möglich wären.

Veelgestelde vragen

Was ist der Unterschied zwischen einem Image und einem Container?+
Ein Image ist die unveränderliche Vorlage, aus der beim Start ein lauffähiger, veränderlicher Container erzeugt wird.
Können in einem Image nachträgliche Manipulationen erkannt werden?+
Mit entsprechenden Prüfsummen- und Signaturverfahren sowie einer detaillierten Layer-Analyse ist dies in vielen Fällen möglich.
Werden auch Images aus öffentlichen Registries untersucht?+
Ja, sofern relevant, werden auch aus öffentlichen Quellen bezogene Images auf bekannte Schwachstellen oder Manipulationen geprüft.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Docker-Images forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nu contact opnemen