IT-forenzika · Linux

Forenzična analiza OverlayFS – pravilna analiza večplastnih datotečnih sistemov

OverlayFS združuje več plasti imenikov v enoten datotečni sistem, ki je za aplikacije pregleden. Pogosto se uporablja v izvedbenih okoljih za kontejnerje, kot je Docker, ter v sistemih Live-Linux.

Nezavezujoča poizvedba

Za forenzično analizo je ključnega pomena razlikovanje med nespremenljivim spodnjim slojem in zapisljivim zgornjim slojem, saj le zgornji sloj vsebuje spremembe, ki so bile izvedene med izvajanjem.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Prepoznamo vključene plasti OverlayFS, ločimo vsebino spodnje in zgornje plasti ter ciljno analiziramo spremembe v zgornji plasti, ki so bile izvedene med izvajanjem.

Tipična področja uporabe

•Raziskava kontejnerskih izvedbenih okolij
•Analiza sistemov Live Linux in reševalnih sistemov
•Rekonstrukcija sprememb, povezanih s časom izvajanja
•Ločitev osnovne slike in podatkov o izvajanju
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza OverlayFS

Po varnostnem kopiranju se najprej določi struktura plasti vpetja OverlayFS. Spodnja in zgornja plast se analizirata ločeno, pri čemer je poudarek na spremembah, ki so bile izvedene v zgornji plasti med izvajanjem. Rezultati se povežejo z ustreznim kontekstom kontejnerja ali sistema.

Zakaj je analiza OverlayFS forenzično pomembna?

Sistemi v kontejnerjih in sistemi v realnem času uporabljajo OverlayFS, da osnovne slike ostanejo nespremenjene, spremembe med izvajanjem pa se beležijo ločeno. Te spremembe med izvajanjem so pogosto ključnega pomena za forenzične preiskave.

Če struktura plasti ni pravilno upoštevana, se lahko vsebina osnovne slike napačno razlaga kot spremembe, specifične za čas izvajanja, ali obratno. Zato je potrebna skrbna ločitev.

Pogosta vprašanja

Kakšna je razlika med spodnjim in zgornjim slojem?+
Spodnji sloj je običajno nespremenljiv in vsebuje osnovne podatke, medtem ko zgornji sloj zajema spremembe, ki so bile izvedene med izvajanjem.
Ali Docker uporablja OverlayFS?+
Da, OverlayFS oziroma na njem temelječi gonilniki za shranjevanje spadajo med pogosto uporabljene gonilnike za shranjevanje za slike kontejnerjev in njihova izvedbena okolja.
Ali se spremembe ohranijo po zaključku delovanja kontejnerja?+
To je odvisno od konfiguracije. Brez trajnega volumna se lahko spremembe v zgornjih plasteh izgubijo ob odstranitvi kontejnerja.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Forenzična analiza OverlayFS"? LanCologne vam pomaga pri sodno veljavnem zavarovanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj