IT-forensisch onderzoek · Linux

LVM forensisch analyseren – Logische volumes correct indelen

Der Logical Volume Manager (LVM) abstrahiert physische Datenträger zu flexiblen logischen Volumes und wird auf zahlreichen Linux-Servern und Workstations zur Speicherverwaltung eingesetzt. Volume Groups fassen dabei mehrere Physical Volumes zusammen, aus denen Logical Volumes bereitgestellt werden.

Vrijblijvend informeren

Für die forensische Untersuchung ist entscheidend, die tatsächliche Zuordnung zwischen physischen Datenträgern, Volume Groups und Logical Volumes korrekt zu rekonstruieren, bevor die eigentliche Dateisystemanalyse beginnt. Eine fehlerhafte Zuordnung kann zu einer unvollständigen oder falschen Auswertung führen.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

Wir rekonstruieren die LVM-Struktur aus Volume-Group- und Logical-Volume-Metadaten, ordnen die zugehörigen physischen Datenträger korrekt zu und bereiten die logischen Volumes für die anschließende Dateisystemanalyse auf.

Typische toepassingsgebieden

•Rekonstruktion komplexer Server-Speicherstrukturen
•Untersuchung von Systemen mit mehreren Volume Groups
•Bewertung von LVM-Snapshots und Thin-Provisioning
•Vorbereitung der Dateisystemanalyse auf logischen Volumes
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

So läuft eine LVM-forensische Untersuchung ab

Nach der Sicherung sämtlicher beteiligter physischer Datenträger wird zunächst die LVM-Metadatenstruktur ausgewertet, um Volume Groups und Logical Volumes korrekt zu rekonstruieren. Anschließend werden die logischen Volumes für die weitere Dateisystemanalyse bereitgestellt, ohne das Originalabbild zu verändern.

Warum ist die LVM-Analyse forensisch relevant?

Viele Linux-Server nutzen LVM zur flexiblen Speicherverwaltung, wodurch Daten über mehrere physische Datenträger verteilt sein können. Eine korrekte Rekonstruktion der LVM-Struktur ist Voraussetzung für eine vollständige Dateisystemanalyse.

Wird die LVM-Struktur nicht korrekt rekonstruiert, können Teile des Datenbestands bei der Analyse übersehen werden. Deshalb wird die Volume-Zuordnung vor jeder weiteren Untersuchung sorgfältig geprüft.

Veelgestelde vragen

Was ist der Unterschied zwischen Volume Group und Logical Volume?+
Eine Volume Group fasst physische Datenträger zu einem Speicherpool zusammen, aus dem einzelne Logical Volumes als nutzbare, flexibel dimensionierbare Partitionen bereitgestellt werden.
Kann ein Logical Volume über mehrere Datenträger verteilt sein?+
Ja, ein Logical Volume kann Speicherplatz von mehreren physischen Datenträgern innerhalb derselben Volume Group nutzen.
Was passiert, wenn ein Datenträger einer Volume Group fehlt?+
Fehlt ein Datenträger, kann die Volume Group unvollständig oder nicht aktivierbar sein. Ob und welche Daten dennoch rekonstruierbar sind, zeigt die technische Diagnose.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Sie benötigen eine professionelle forensische Untersuchung zu „LVM forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nu contact opnemen