MOBIELE FORENSIEK

Het Android-bestandssysteem eenvoudig uitgelegd

Het Android-bestandssysteem vormt de basis van elk forensisch onderzoek naar een Android-apparaat. Inzicht in de opslagstructuur maakt het gemakkelijker om gebruikersbestanden, app-gegevens en systeemartefacten te classificeren en is een voorwaarde voor een vakkundige analyse.

boot
init_boot (bij nieuwere apparaten)
systeem
leverancier
product
odm
gebruikersgegevens
herstel
metadata

TECHNISCHE ACHTERGROND

Technische basisprincipes

Android bestaat uit meerdere partities met verschillende functies. Afhankelijk van de fabrikant en de Android-versie kunnen de opbouw en de benamingen enigszins verschillen.

Tot de belangrijkste partities behoren:

  • •boot
  • •init_boot (bij nieuwere apparaten)
  • •systeem
  • •leverancier
  • •product
  • •odm
  • •gebruikersgegevens
  • •herstel
  • •metadata

Gebruikte bestandssystemen zijn onder andere ext4, F2FS en – bij nieuwere apparaten – EROFS. Binnen de userdata-partitie draaien applicaties in onderling gescheiden sandboxes. Hierdoor worden app-gegevens in principe geïsoleerd opgeslagen.

ONZE AANPAK

Zo verloopt uw onderzoek

Een transparant proces – van de eerste aanvraag tot de overhandiging van het rapport.

1
In het kader van een Android-onderzoek worden de relevante partities en bestandssystemen geanalyseerd op basis van de beschikbare back-up. Naast erkende IT-forensische tools wordt er een handmatige controle uitgevoerd van relevante mappenstructuren, metagegevens en artefacten van het bestandssysteem. Alle werkstappen worden op reproduceerbare wijze gedocumenteerd.
2
LanCologne stelt particuliere rapporten op, evenals rapporten voor bedrijven en advocaten. Onze rapporten zijn al in gerechtelijke procedures gebruikt. In afzonderlijke procedures hebben wij rechtstreeks de opdracht gekregen om IT-forensische rapporten op te stellen. Op verzoek kunnen geanonimiseerde of roodgestreepte referentierapporten of uittreksels worden getoond.

TYPISCHE VRAGEN

Wanneer is deze analyse nodig?

  • ✔Waar worden gebruikersgegevens opgeslagen?
  • ✔Waar worden app-gegevens opgeslagen?
  • ✔Welke partities zijn relevant voor forensisch onderzoek?
  • ✔Welke rol speelt de sandbox van een app?
  • ✔Welke bestandssystemen worden gebruikt?

BEPERKINGEN & CONCLUSIE

Wat u moet weten

De beschikbare gegevens zijn onder andere afhankelijk van de extractiemethode, de apparaatversleuteling, de status van de bootloader en de Android-versie. Niet elke partitie is op elk apparaat volledig toegankelijk.

Het Android-bestandssysteem vormt de technische basis van vrijwel elk forensisch onderzoek naar Android. Pas als men inzicht heeft in de partities en opslaglocaties, is een deugdelijke beoordeling van digitale artefacten mogelijk.

KLANTBEOORDELINGEN

Dit zeggen onze klanten

4,8 van de 5 sterren op Trustpilot · 54 beoordelingen

★★★★★

“Uiterste professionaliteit, snelle afhandeling en uitstekende communicatie. Wat onmogelijk leek, is mogelijk gemaakt. Zo stel je je echte klantenservice voor – uniek in Duitsland!”

idalein

Geverifieerde beoordeling op Trustpilot

★★★★★

“Zeer vriendelijk advies, uitstekende bereikbaarheid en communicatie. Mijn probleem is volledig opgelost; de verloren gegevens konden worden hersteld. Ik ben erg tevreden en natuurlijk opgelucht!”

Layla Pankratz

Geverifieerde beoordeling op Trustpilot

★★★★★

“Mijn probleem werd professioneel en snel opgelost, de medewerkers waren altijd vriendelijk en ik kan ook nu nog contact opnemen als ik vragen heb – daar ben ik erg dankbaar voor!”

inwoonster van Keulen

Geverifieerde beoordeling op Trustpilot

Nu aanvragen – gratis eerste adviesgesprek

Wilt u de gegevensstructuur van een Android-apparaat professioneel laten analyseren? LanCologne ondersteunt u met een objectief IT-forensisch onderzoek en een transparante, deskundige rapportage.

GERELATEERDE ONDERWERPEN

Dit zou u ook kunnen interesseren

VEELGESTELDE VRAGEN

Veelgestelde vragen

Klik op een vraag om het antwoord te zien.

Welke bestandssystemen gebruikt Android?
Vaak ext4, F2FS en bij nieuwere apparaten soms EROFS.
Zijn alle fabrikanten op dezelfde manier opgezet?
Nee. Samsung, Google, Xiaomi en andere fabrikanten verschillen deels in de indeling van de partities.
Wat is de userdata-partitie?
Het bevat onder andere gebruikers- en app-gegevens en vormt meestal het belangrijkste onderdeel van een onderzoek.
Waarom zijn app-sandboxes belangrijk?
Ze scheiden de gegevens van afzonderlijke applicaties van elkaar en beïnvloeden de forensische analyse.
Kan hierover een rapport worden opgesteld?
Ja. De resultaten kunnen op een begrijpelijke manier worden gedocumenteerd en door deskundigen worden beoordeeld.