IT-forenzika · Linux

Forenzična analiza particije swap – analiza vsebine pomnilnika, ki je bila preseljena v swap

Particija za zamenjavo ali datoteka za zamenjavo služi za začasno shranjevanje vsebine delovnega pomnilnika na nosilec podatkov, kadar je to potrebno. Zaradi tega lahko vsebuje fragmente pomnilnika procesov, gesel ali podatkov aplikacij, ki v samem delovnem pomnilniku niso več na voljo.

Nezavezujoča poizvedba

Ker vsebina swapov ni niti strukturirana niti trajno dosledna, njihova obdelava zahteva skrbno analizo nestrukturiranih podatkovnih območij, kar je primerljivo z analizo surovih podatkov brez fiksnega datotečnega sistema.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Particijo za zamenjavo ali datoteko za zamenjavo varnostno kopiramo kot surovo sliko in v vsebovanih podatkovnih območjih ciljno iščemo forenzično pomembne fragmente, na primer ostanke besedila, podatke za dostop ali sledi uporabe.

Tipična področja uporabe

•Iskanje fragmentov občutljivih podatkov v zunanjem pomnilniku
•Rekonstrukcija procesnih podatkov, ki jih v pomnilniku RAM ni več
•Podpora pri preiskavah v okviru odzivanja na incidente
•Dopolnitev klasičnih analiz datotečnih sistemov
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza swapov

Po varnostnem kopiranju particije ali datoteke swap v obliki surove slike se območje podatkov preišče z uporabo prepoznavanja vzorcev in ciljnih iskanj za forenzično pomembne fragmente. Najdene fragmente se, kolikor je to mogoče, časovno in vsebinsko poveže z drugimi sistemskimi artefakti.

Zakaj je analiza swapov forenzično pomembna?

Območja izmenjave lahko vsebujejo fragmente podatkov, ki v trenutku preiskave v delovnem pomnilniku sploh več ne obstajajo, na primer po zaključku procesa. Zato predstavljajo dragoceno dopolnilo klasični analizi datotečnega sistema.

Ker je vsebina Swapa nestrukturirana in nepopolna, je treba rezultate vedno obravnavati kot namige in ne kot dokončen dokaz. Zato je potrebna skrbna umestitev v celotni kontekst.

Pogosta vprašanja

Kaj se shranjuje v particijo swap?+
V primeru pomanjkanja pomnilnika lahko operacijski sistem in aplikacije vsebino delovnega pomnilnika začasno prenesejo v particijo ali datoteko za zamenjavo.
Ali je vsebina swapov strukturirana in berljiva?+
Ne, na voljo so kot nestrukturirani surovi podatki, ki jih je treba analizirati s pomočjo prepoznavanja vzorcev in iskanja.
Ali lahko analiza zamenjave vsebuje gesla?+
Možno je, da so v izmenjevalnih območjih vsebovani deli občutljivih podatkov, kot so prijavni podatki, če so bili v delovnem pomnilniku v trenutku izmenjave.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Forenzična analiza particije swap"? LanCologne vam nudi podporo pri sodno veljavnem varovanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj