IT-forensisch onderzoek · Linux

Forensische analyse van het Btrfs-bestandssysteem – Copy-on-Write-structuren op de juiste manier evalueren

Btrfs is een modern copy-on-write-bestandssysteem dat subvolumes, snapshots, geïntegreerd volumebeheer en het berekenen van checksums ondersteunt. Het wordt steeds vaker gebruikt op desktop- en Server-systemen en in NAS-oplossingen.

Vrijblijvend informeren

Door het ‘copy-on-write’-principe worden gegevensblokken bij wijzigingen niet direct overschreven, maar opnieuw geschreven, terwijl oude versies onder bepaalde omstandigheden via snapshots bewaard blijven. Dit kan vanuit forensisch oogpunt zowel extra mogelijkheden voor reconstructie als extra complexiteit met zich meebrengen.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We analyseren Btrfs-subvolumes, bestaande snapshots en de interne metadatastructuur, en gaan na welke oudere gegevensstanden nog kunnen worden gereconstrueerd via snapshots of restanten van Copy-on-Write.

Typische toepassingsgebieden

•Analyse van Btrfs-subvolumes en snapshots
•Reconstructie van eerdere bestandsstatussen via snapshots
•Onderzoek naar NAS- en desktopsystemen met Btrfs
•Beoordeling van Copy-on-Write-gegevensresten
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een forensisch onderzoek met Btrfs

Na het maken van de back-up worden eerst de aanwezige subvolumes en snapshots geïdentificeerd en gedocumenteerd. Vervolgens wordt de interne metadatastructuur geanalyseerd om door Copy-on-Write veroorzaakte gegevensresten en eerdere toestanden van afzonderlijke bestanden te identificeren. De resultaten worden gekoppeld aan andere systeemartefacten.

Waarom is de Btrfs-analyse forensisch relevant?

Btrfs-snapshots kunnen historisch waardevolle toestanden van een systeem vastleggen die op klassieke bestandssystemen niet meer beschikbaar zouden zijn. Een correcte identificatie en analyse ervan kan de reconstructie aanzienlijk verbeteren.

Tegelijkertijd vereist het ‘copy-on-write’-principe een fundamenteel andere kijk op het overschrijven van gegevens dan bij klassieke bestandssystemen. Voor een gedegen beoordeling is daarom specifieke kennis van Btrfs vereist.

Veelgestelde vragen

Wat is 'copy-on-write' bij Btrfs?+
Bij wijzigingen worden gegevensblokken niet direct overschreven, maar op een nieuwe locatie opgeslagen, terwijl oudere versies in bepaalde gevallen via snapshots bewaard blijven.
Welke forensische waarde hebben Btrfs-snapshots?+
Bestaande momentopnames kunnen aanvullende informatie opleveren voor de reconstructie van de tijd en de inhoud, mits ze op het betreffende tijdstip bestonden.
Wordt Btrfs veel gebruikt op Servern?+
Btrfs wordt steeds vaker gebruikt, onder andere op NAS-systemen en bepaalde Server- en desktopdistributies, maar is minder wijdverbreid dan ext4 of XFS.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar het „forensisch analyseren van het Btrfs-bestandssysteem"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige manier vastleggen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen