IT-forenzika · Linux

Forenzična analiza tabel particij (GPT/MBR) v sistemu Linux – Rekonstrukcija osnovne strukture nosilca podatkov

GPT in starejša shema MBR opredeljujeta, kako je nosilec podatkov razdeljen na particije. V sistemu Linux se obe shemi pojavljata, odvisno od starosti sistema, strojne opreme in načina zagona (BIOS ali UEFI).

Nezavezujoča poizvedba

Poškodovana ali namerno spremenjena tabela particij lahko povzroči, da se zdi, da particije manjkajo, čeprav so osnovni podatki fizično še vedno prisotni. Forenzična rekonstrukcija zato zahteva natančno analizo na nizki ravni.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Analiziramo obstoječo tabelo particij, v primeru poškodbe pa na podlagi podpisov datotečnega sistema rekonstruiramo prvotno strukturo particij ter poskrbimo, da se pri nadaljnji analizi nobena particija ne spregleda.

Tipična področja uporabe

•Obnova poškodovanih struktur particij
•Preiskava po namerni manipulaciji tabele particij
•Iskanje skritih ali nepripetih particij
•Priprava analize datotečnega sistema na kompleksnih nosilcih podatkov
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza tabele particij

Po varnostnem kopiranju celotne surove slike se najprej preveri, ali je prisotna veljavna struktura GPT ali MBR. V primeru poškodbe se nosilec podatkov sistematično pregleda na podlagi znanih podpisov datotečnega sistema, da se poiščejo obstoječe particije in s tem rekonstruira prvotna struktura.

Zakaj je analiza tabele particij forenzično pomembna?

Nepopolno prepoznana struktura particij lahko povzroči, da se pri preiskavi popolnoma spregledajo pomembna območja podatkov. Zato je pravilna rekonstrukcija nujen prvi korak vsake analize nosilca podatkov.

V primeru suma namerne manipulacije tabele particij, na primer z namenom prikrivanja podatkov, se analiza posebej natančno dokumentira, da se poznejše zaključke lahko verodostojno utemelji.

Pogosta vprašanja

Kakšna je razlika med GPT in MBR?+
MBR je starejša shema particij z omejenim številom particij in velikostjo prostora, GPT pa je sodobnejši naslednik z znatno višjimi omejitvami in dodatno redundanco.
Ali je mogoče obnoviti poškodovano tabelo particij?+
V mnogih primerih da, in sicer na podlagi podpisov datotečnega sistema in znanih strukturnih značilnosti. Uspeh je odvisen od obsega poškodb.
Ali je mogoče particije namerno skriti?+
Da, z manipulacijo tabele particij je mogoče particije skriti pred operacijskim sistemom, čeprav podatki fizično ostanejo prisotni.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Forenzična analiza tablic particij (GPT/MBR) v sistemu Linux"? Podjetje LanCologne vam nudi podporo pri sodno veljavnem pridobivanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj