Informática Forense · Linux

Análise forense de atributos alargados (xattr) – Metadados adicionais para além dos atributos clássicos

Os atributos estendidos ampliam os metadados clássicos dos ficheiros com pares nome-valor adicionais, que podem ser utilizados por aplicações, mecanismos de segurança ou pelo próprio sistema. Exemplos disso são os contextos de segurança do SELinux, as capacidades ou as informações sobre a origem dos ficheiros descarregados.

Pedido de informação sem compromisso

Uma vez que os atributos estendidos nem sempre são lidos por predefinição, podem conter informações adicionais relevantes do ponto de vista forense, que podem facilmente passar despercebidas numa análise superficial.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Analisamos sistematicamente os atributos alargados existentes e classificamo-los de acordo com os respetivos contextos de segurança, origem ou utilização, a fim de obter informações adicionais relevantes do ponto de vista forense.

Áreas de aplicação típicas

•Análise dos contextos de segurança do SELinux
•Comprovação da origem dos ficheiros descarregados
•Análise das capacidades de programas individuais
•Complemento às análises clássicas de metadados
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

Eis como decorre uma análise de atributos estendidos

Após a cópia de segurança, os ficheiros e diretórios relevantes são sistematicamente verificados quanto à existência de atributos alargados. Os atributos encontrados são documentados e classificados no respetivo contexto de segurança ou de aplicação, a fim de obter informações forenses adicionais.

Por que razão a análise do xattr é relevante do ponto de vista forense?

Os atributos alargados podem conter informações que vão além dos metadados clássicos dos ficheiros, como, por exemplo, a origem de um ficheiro ou os direitos de segurança atribuídos. Por vezes, são ignorados nas análises padrão.

A interpretação correta pressupõe o conhecimento da respetiva aplicação ou do mecanismo de segurança que definiu o atributo. Por isso, os resultados do xattr são sempre avaliados no contexto global do sistema em análise.

Perguntas frequentes

O que são atributos alargados?+
Pares nome-valor adicionais que podem ser anexados a um ficheiro ou a um diretório, para além dos metadados clássicos do ficheiro.
Os atributos estendidos são guardados automaticamente?+
Numa cópia de segurança forense correta da imagem bruta, estes dados são preservados, mas têm de ser extraídos de forma específica para a análise.
Que mecanismos de segurança utilizam os atributos alargados?+
Entre outros, o SELinux para contextos de segurança, bem como vários programas para identificar a origem dos ficheiros.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma investigação forense profissional sobre a „análise forense de atributos estendidos (xattr)"? A LanCologne apoia-o na recolha de provas digitais com validade judicial, bem como na avaliação transparente de artefactos Linux relevantes.

Entre em contacto connosco agora