IT-forensisch onderzoek · Linux

De inode-structuur forensisch analyseren – metadata als belangrijkste forensische bron gebruiken

Inodes speichern zentrale Metadaten einer Datei, darunter Größe, Berechtigungen, Eigentümer sowie Zeitstempel für Zugriff, Änderung und Statusänderung. Der Dateiname selbst wird dagegen im jeweiligen Verzeichniseintrag gespeichert, nicht im Inode.

Vrijblijvend informeren

Diese Trennung zwischen Inode und Verzeichniseintrag ist forensisch bedeutsam, da mehrere Verzeichniseinträge auf denselben Inode verweisen können (Hardlinks) und Inodes auch nach Entfernen eines Verzeichniseintrags zunächst erhalten bleiben können.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

Wir werten Inode-Metadaten systematisch aus, rekonstruieren Zeitstempel-konsistente Abläufe und ordnen Inode-Informationen auch dann zu, wenn zugehörige Verzeichniseinträge nicht mehr vorhanden sind.

Typische toepassingsgebieden

•Rekonstruktion von Zugriffs- und Änderungszeitpunkten
•Aufklärung von Hardlink-Strukturen
•Zuordnung verwaister Inodes ohne Verzeichniseintrag
•Untersuchung von Berechtigungs- und Eigentümerhistorien
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

So läuft eine Inode-Analyse ab

Nach der Sicherung werden relevante Inode-Metadaten systematisch extrahiert und mit den zugehörigen Verzeichniseinträgen abgeglichen. Verwaiste Inodes ohne aktuellen Verzeichniseintrag werden gesondert untersucht, um mögliche frühere Zuordnungen zu rekonstruieren.

Warum ist die Inode-Analyse forensisch relevant?

Inode-Metadaten liefern präzise Zeitstempel- und Berechtigungsinformationen, die für die zeitliche Rekonstruktion von Systemereignissen essenziell sind. Sie bilden häufig die Grundlage weiterführender forensischer Schlussfolgerungen.

Zeitstempel-Interpretationen erfordern jedoch Kenntnis der jeweiligen Mount-Optionen und Kernel-Konfiguration, da diese das Aktualisierungsverhalten einzelner Zeitstempel beeinflussen können. Dies wird bei jeder Auswertung berücksichtigt.

Veelgestelde vragen

Welche Zeitstempel enthält ein Inode?+
Typischerweise Zugriffszeit (atime), Änderungszeit des Inhalts (mtime) und Statusänderungszeit der Metadaten (ctime), abhängig von Dateisystem und Konfiguration.
Wo wird der Dateiname gespeichert?+
Der Dateiname wird im Verzeichniseintrag gespeichert, nicht im Inode selbst. Ein Inode kann über mehrere Verzeichniseinträge referenziert werden.
Was ist ein verwaister Inode?+
Ein Inode, dessen zugehöriger Verzeichniseintrag entfernt wurde, dessen Dateninhalt aber unter Umständen noch nicht überschrieben ist.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Sie benötigen eine professionelle forensische Untersuchung zu „Inode-Struktur forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nu contact opnemen