IT-Forensik · Linux

Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren – Grundlegende Datenträgerstruktur rekonstruieren

GPT und das ältere MBR-Schema definieren, wie ein Datenträger in Partitionen unterteilt ist. Unter Linux kommen beide Schemata je nach Systemalter, Hardware und Bootverfahren (BIOS oder UEFI) vor.

Nezavezujoča poizvedba

Eine beschädigte oder absichtlich veränderte Partitionstabelle kann dazu führen, dass Partitionen scheinbar fehlen, obwohl die zugrunde liegenden Daten physisch noch vorhanden sind. Die forensische Rekonstruktion setzt daher eine sorgfältige Low-Level-Analyse voraus.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Wir werten die vorhandene Partitionstabelle aus, rekonstruieren bei Beschädigung die ursprüngliche Partitionsstruktur anhand von Dateisystem-Signaturen und stellen sicher, dass keine Partition bei der weiteren Analyse übersehen wird.

Tipična področja uporabe

•Rekonstruktion beschädigter Partitionsstrukturen
•Untersuchung nach gezielter Manipulation der Partitionstabelle
•Auffinden versteckter oder nicht gemounteter Partitionen
•Vorbereitung der Dateisystemanalyse auf komplexen Datenträgern
•Incident Response auf Linux-Systemen
•Sodna in izvensodna izvedenska mnenja

So läuft die Analyse einer Partitionstabelle ab

Nach der Sicherung des vollständigen Rohabbilds wird zunächst geprüft, ob eine gültige GPT- oder MBR-Struktur vorliegt. Bei Beschädigung wird der Datenträger anhand bekannter Dateisystem-Signaturen systematisch nach vorhandenen Partitionen durchsucht, um die ursprüngliche Struktur zu rekonstruieren.

Warum ist die Analyse der Partitionstabelle forensisch relevant?

Eine unvollständig erkannte Partitionsstruktur kann dazu führen, dass relevante Datenbereiche bei der Untersuchung vollständig übersehen werden. Die korrekte Rekonstruktion ist deshalb ein notwendiger erster Schritt jeder Datenträgeranalyse.

Bei Verdacht auf gezielte Manipulation der Partitionstabelle, etwa zur Verschleierung von Daten, wird die Analyse besonders sorgfältig dokumentiert, um spätere Schlussfolgerungen nachvollziehbar zu belegen.

Pogosta vprašanja

Was ist der Unterschied zwischen GPT und MBR?+
MBR ist das ältere Partitionsschema mit begrenzter Partitionsanzahl und Volumengröße, GPT ist der modernere Nachfolger mit deutlich höheren Grenzen und zusätzlicher Redundanz.
Kann eine beschädigte Partitionstabelle rekonstruiert werden?+
In vielen Fällen ja, anhand von Dateisystem-Signaturen und bekannten Strukturmerkmalen. Der Erfolg hängt vom Ausmaß der Beschädigung ab.
Können Partitionen absichtlich versteckt werden?+
Ja, durch Manipulation der Partitionstabelle können Partitionen dem Betriebssystem gegenüber verborgen werden, obwohl die Daten physisch vorhanden bleiben.

🔗 Sorodne teme

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Partitionstabellen (GPT/MBR) unter Linux forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Stopite v stik zdaj