Informática Forense · Linux

Análise forense de instantâneos LVM – Avaliação de estados históricos dos volumes

Os instantâneos LVM preservam o estado de um volume lógico num determinado momento e são frequentemente criados antes de alterações no sistema, Updates ou cópias de segurança. Baseiam-se num mecanismo semelhante ao «Copy-on-Write».

Pedido de informação sem compromisso

Uma vez que um instantâneo LVM apenas mantém separadamente os blocos de dados que foram alterados desde a sua criação, o seu espaço de armazenamento disponível é limitado e pode tornar-se inválido caso esse espaço se esgote. Este aspeto deve ser tido em conta na avaliação forense da disponibilidade e integridade.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Identificamos instantâneos LVM existentes ou referenciados nos metadados, verificamos a sua validade e analisamos os estados históricos dos dados neles contidos, comparando-os com o volume lógico atual.

Áreas de aplicação típicas

•Reconstrução de estados anteriores do sistema antes de Updates
•Análise de instantâneos de cópia de segurança automatizados
•Comparação dos dados antes e depois das alterações no sistema
•Avaliação da capacidade e da validade do instantâneo
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

É assim que decorre uma análise de instantâneos LVM

Após a cópia de segurança, os instantâneos LVM existentes são identificados e a sua validade é verificada, uma vez que um instantâneo esgotado pode tornar-se inválido. Em seguida, os blocos de dados contidos são comparados com o volume lógico atual, a fim de documentar com precisão as alterações.

Por que razão a análise de instantâneos LVM é relevante do ponto de vista forense?

Um instantâneo criado antes de uma alteração crítica no sistema pode preservar o estado imediatamente anterior a um incidente e, assim, fornecer um valioso ponto de referência para análise forense.

Uma vez que os instantâneos LVM podem deixar de ser válidos quando o espaço de armazenamento é limitado, a sua disponibilidade não é garantida. Por isso, a sua utilizabilidade efetiva é sempre verificada caso a caso.

Perguntas frequentes

Como funciona, do ponto de vista técnico, um instantâneo LVM?+
Ao ser criado, armazena inicialmente apenas uma referência ao original e, posteriormente, mantém separadamente apenas os blocos de dados que foram alterados desde a sua criação.
Um instantâneo LVM pode tornar-se inválido?+
Sim, se o espaço de armazenamento reservado para alterações se esgotar, o instantâneo pode tornar-se inválido e inutilizável.
Os instantâneos LVM são criados por predefinição?+
Não, têm de ser criados de forma específica, por exemplo, manualmente ou através de processos automatizados de cópia de segurança e Update.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma investigação forense profissional sobre a „análise forense de instantâneos LVM"? A LanCologne apoia-o na recolha de provas digitais com validade judicial, bem como na avaliação rastreável de artefactos Linux relevantes.

Entre em contacto connosco agora