IT-forensisch onderzoek · Linux

Forensische analyse van de swap-partitie – De inhoud van het uitbestede werkgeheugen onderzoeken

De swap-partitie of het swap-bestand dient om de inhoud van het werkgeheugen indien nodig tijdelijk naar een opslagmedium te verplaatsen. Daardoor kunnen daar fragmenten van procesgeheugen, wachtwoorden of applicatiegegevens in staan die in het werkgeheugen zelf niet meer beschikbaar zijn.

Vrijblijvend informeren

Aangezien swap-inhoud noch gestructureerd noch permanent consistent is, vereist de evaluatie ervan een zorgvuldige analyse van ongestructureerde gegevensgebieden, vergelijkbaar met een analyse van ruwe gegevens zonder vast bestandssysteem.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We maken een back-up van de swap-partitie of het swap-bestand als ruwe image en doorzoeken de daarin opgenomen gegevensgebieden gericht op forensisch relevante fragmenten, zoals tekstfragmenten, inloggegevens of sporen van applicaties.

Typische toepassingsgebieden

•Zoeken naar fragmenten van gevoelige gegevens in het externe geheugen
•Reconstructie van procesgegevens die niet meer in het RAM aanwezig zijn
•Ondersteuning bij onderzoeken in het kader van incidentrespons
•Aanvulling op klassieke analyses van bestandssystemen
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een swap-analyse

Nadat de swap-partitie of het swap-bestand als raw-image is opgeslagen, wordt het gegevensgebied door middel van patroonherkenning en gerichte zoekopdrachten doorzocht op forensisch relevante fragmenten. De gevonden fragmenten worden, voor zover mogelijk, qua tijdstip en inhoud in verband gebracht met andere systeemartefacten.

Waarom is de swap-analyse forensisch relevant?

Swapgebieden kunnen gegevensfragmenten bevatten die op het moment van onderzoek zelf niet meer in het werkgeheugen aanwezig zijn, bijvoorbeeld na het beëindigen van een proces. Ze vormen daarmee een waardevolle aanvulling op de klassieke bestandssysteemanalyse.

Aangezien swap-inhoud ongestructureerd en onvolledig is, moeten de resultaten altijd worden beschouwd als aanwijzingen en niet als definitief bewijs. Het is daarom noodzakelijk om deze zorgvuldig in de totale context te plaatsen.

Veelgestelde vragen

Wat wordt er naar de swap-partitie verplaatst?+
Bij geheugenbeperkingen kunnen het besturingssysteem en de applicaties de inhoud van het werkgeheugen tijdelijk naar de swap-partitie of het swap-bestand verplaatsen.
Is de inhoud van swaps gestructureerd en goed leesbaar?+
Nee, het gaat om ongestructureerde ruwe gegevens die moeten worden geanalyseerd met behulp van patroonherkenning en zoekopdrachten.
Kan een swap-analyse wachtwoorden bevatten?+
Het is mogelijk dat er fragmenten van gevoelige gegevens, zoals inloggegevens, in swapgebieden voorkomen, mits deze op het moment van het uitwisselen in het werkgeheugen aanwezig waren.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „forensische analyse van een swap-partitie"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze vastleggen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen