Informática Forense · Linux
Fazer uma cópia de segurança forense de um sistema Linux sem palavra-passe conhecida
Ist das Administrator- oder Benutzerpasswort eines zu untersuchenden Linux-Systems nicht bekannt, bestehen dennoch verschiedene forensische Zugriffswege, deren Anwendbarkeit von der konkreten Systemkonfiguration und einer eventuell aktiven Verschlüsselung abhängt.
Nos sistemas Linux, este aspeto é particularmente importante, uma vez que as distribuições, as versões do kernel, as arquiteturas de memória e os mecanismos de segurança podem variar significativamente. Um Debian clássico Server, um nó do Kubernetes em contêiner e um sistema incorporado não devem ser tratados segundo o mesmo esquema técnico. O sistema de ficheiros, a encriptação, o ambiente de execução e o estado específico do sistema determinam quais os dados que estão acessíveis e qual o método de cópia de segurança que provoca as menores alterações.
Insbesondere bei unverschlüsselten Systemen ist ein Zugriff auf den Datenbestand über ein externes forensisches Rettungssystem häufig auch ohne Kenntnis der eigentlichen Anmeldedaten möglich, während verschlüsselte Systeme deutlich größere Hürden darstellen.
Porquê o LanCologne?
A LanCologne não analisa os sistemas Linux de acordo com um esquema padrão genérico, mas sim com base na arquitetura concreta de hardware, distribuição e segurança. Os nossos colaboradores contam com décadas de experiência em tecnologias da informação e uma longa experiência prática em informática forense. Apoiamos empresas, advogados, particulares, bem como, regularmente, tribunais e autoridades, na investigação técnica de casos digitais.
A investigação é, em princípio, realizada com base numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e com garantia de preservação das provas. O meio de prova original é mantido inalterado ou, caso sejam necessárias intervenções tecnicamente inevitáveis, estas são documentadas de forma transparente e o meio de prova é conservado com garantia de preservação das provas.
A nossa forma de trabalhar e as ferramentas que utilizamos
A nossa investigação não começa com o lançamento de um programa de análise, mas sim com a recolha de provas. O sistema, o hardware, a ligação à rede, o estado de funcionamento visível e os periféricos existentes são documentados. Posteriormente, decide-se se o sistema deve permanecer desligado, se faz sentido proceder a uma recolha em tempo real ou se um acesso offline através de um sistema de recuperação forense é tecnicamente viável.
No passo seguinte, define-se a estratégia de cópia de segurança. Neste contexto, distinguimos entre mapeamento orientado por blocos, cópia de segurança lógica e triagem seletiva. A escolha não depende da conveniência, mas sim da arquitetura de armazenamento, da encriptação, da disponibilidade do sistema e da questão concreta a comprovar. Sempre que tecnicamente possível, o trabalho é realizado em modo de só leitura. As alterações de estado inevitáveis nas recolhas em tempo real são expressamente registadas.
A cópia de segurança criada é documentada com valores hash. A análise propriamente dita não é realizada no original, mas sim numa cópia de trabalho ou numa imagem de prova verificada. Desta forma, é possível utilizar analisadores, pesquisas ou programas auxiliares próprios, sem alterar continuamente a prova original.
Ohne bekanntes Passwort prüfen wir zunächst, ob eine Festplattenverschlüsselung aktiv ist, und greifen bei unverschlüsselten Systemen über ein forensisches Rettungssystem direkt auf den Datenbestand zu, während bei verschlüsselten Systemen alternative, rechtlich zulässige Zugriffswege geprüft werden.
Para um leitor sem conhecimentos especializados na área, há um ponto particularmente importante: um programa de análise forense não „descobre" automaticamente a verdade. Ele lê estruturas de dados e interpreta-as de acordo com regras conhecidas. Se uma nova versão do kernel ou da distribuição alterar o formato de um protocolo ou uma estrutura de dados, um analisador pode reagir de forma incompleta ou incorreta. Por isso, no caso de conclusões decisivas, verificamos de que ficheiro, base de dados ou estrutura do sistema de ficheiros provém o resultado e se uma segunda abordagem técnica confirma o mesmo facto.
É também por isso que utilizamos várias ferramentas. O The Sleuth Kit e o Autopsy permitem analisar sistemas de ficheiros Linux de forma nativa e com código aberto; o Belkasoft X oferece uma perspetiva diferente sobre artefactos e correlações; o X-Ways permite análises muito detalhadas do sistema de ficheiros e dos dados brutos. Se as análises independentes coincidirem, isso aumenta a fiabilidade. Se não coincidirem, investiga-se a causa e não se seleciona simplesmente o resultado mais conveniente.
Áreas de aplicação típicas
É assim que decorre a investigação forense
O sistema Linux é, em primeiro lugar, identificado de forma inequívoca e documentado fotograficamente ou por escrito. Registamos se está ligado ou desligado, se está com sessão iniciada, bloqueado ou ligado a suportes de dados externos ou redes. Estas informações podem revelar-se decisivas mais tarde.
São determinados a distribuição, a versão do kernel, o sistema de ficheiros, a encriptação e os mecanismos de segurança relevantes. Só a partir daí é que se pode determinar o método de registo adequado.
A cópia de segurança é escolhida de forma a alterar o mínimo possível o original. Dependendo do caso, pode ser utilizada uma imagem orientada por blocos através de um sistema de recuperação forense, uma captura em tempo real do sistema em funcionamento ou uma seleção específica de diretórios individuais. Cada passo é registado.
As imagens criadas ou as cópias de segurança lógicas são identificadas de forma única, dotadas de valores hash e verificadas. A análise e as operações de pesquisa são, em seguida, realizadas em cópias de trabalho.
O Sleuth Kit, ou Autopsy, o Belkasoft X e o X-Ways são combinados consoante a questão em causa. Na medida do possível, um resultado importante não é obtido apenas a partir de uma única visualização do analisador sintático.
Se um artefacto for particularmente relevante para a prova, invulgar ou apenas parcialmente compatível com software padrão, verificamos manualmente os dados brutos, as estruturas das bases de dados, os registos ou as informações do sistema de ficheiros. Se necessário, recorremos a ferramentas próprias.
No final, não nos limitamos a enumerar o que uma ferramenta apresentou. Explicamos qual é a fonte técnica subjacente ao resultado, que conclusão é admissível e quais são os limites.
Por que razão esta área de investigação é relevante do ponto de vista forense?
Ist das Administrator- oder Benutzerpasswort eines zu untersuchenden Linux-Systems nicht bekannt, bestehen dennoch verschiedene forensische Zugriffswege, deren Anwendbarkeit von der konkreten Systemkonfiguration und einer eventuell aktiven Verschlüsselung abhängt.
O valor forense não reside apenas na quantidade de dados encontrados, mas sim na sua origem e fiabilidade. Um nome de ficheiro, um carimbo temporal ou uma entrada de registo podem ser ambíguos sem contexto. Por isso, documentamos como um artefacto pode ter surgido, quais as explicações alternativas existentes e quais os outros indícios que sustentam a conclusão.
Insbesondere bei unverschlüsselten Systemen ist ein Zugriff auf den Datenbestand über ein externes forensisches Rettungssystem häufig auch ohne Kenntnis der eigentlichen Anmeldedaten möglich, während verschlüsselte Systeme deutlich größere Hürden darstellen.
Além disso, especialmente em sistemas Linux modernos, a tentativa de realizar uma análise „clássica" de suportes de dados pode fracassar devido a limitações técnicas. A encriptação, a contentorização, a memória volátil e as configurações dinâmicas deixam claro por que razão é tão importante efetuar um backup adequado antes da análise propriamente dita. Os erros nesta fase nem sempre podem ser corrigidos posteriormente.
Perguntas frequentes
LanCologne – Análise Forense do Linux em Colónia
Sie benötigen eine professionelle Untersuchung zu „Linux-System ohne bekanntes Passwort forensisch sichern"? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.