IT-forensik · Linux

Forensisk klassificering av tmpfs och RAM-baserade filsystem – Korrekt bedömning av flyktiga minnesområden

tmpfs och liknande RAM-baserade filsystem lagrar data uteslutande i arbetsminnet för att påskynda åtkomsten. De används ofta i Linux för tillfälliga kataloger som /tmp eller /run.

Begär en icke-bindande offert

Eftersom innehållet i tmpfs i princip inte lagras permanent går det förlorat när systemet stängs av eller startas om. För en kriminalteknisk utvärdering krävs därför regelbundet en live-säkerhetskopiering av arbetsminnet, förutsatt att systemet fortfarande är igång.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

För system som är i drift undersöker vi vilka forensiskt relevanta data som finns i tmpfs-baserade kataloger och säkerhetskopierar dessa inom ramen för en live-insamling, förutsatt att detta är fackmässigt motiverat och har avtalats med uppdragsgivaren.

Typiska användningsområden

•Säkerhetskopiering av tillfälliga data i system som är i drift
•Undersökning av tillämpningar med tillfälliga arbetskataloger
•Utvärdering av containerbaserade tmpfs-monteringar
•Sortering av filer som verkar ha försvunnit efter en omstart
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går klassificeringen av tmpfs-innehåll till

För ett system som fortfarande är i drift kontrolleras först vilka tmpfs-monteringar som finns och vilket innehåll de innehåller. Om det är tekniskt försvarbart säkerhetskopieras relevanta områden inom ramen för en live-insamling, varvid de oundvikliga tillståndsförändringarna som uppstår i samband med detta dokumenteras. För system som redan har stängts av förklaras förlusten av dessa data på ett tekniskt begripligt sätt.

Varför är klassificeringen av tmpfs relevant ur ett kriminaltekniskt perspektiv?

Många applikationer och containrar använder tmpfs för tillfälliga arbetsdata som kan vara relevanta för kriminalteknisk utredning, men som går förlorade för alltid efter en omstart. En korrekt klassificering förhindrar felaktiga förväntningar på möjligheten att återställa data.

Om ett system stängs av innan en säkerhetskopiering har utförts kan endast de data som lagras där gå förlorade för alltid. Detta understryker vikten av en tidig och sakkunnig bedömning.

Vanliga frågor

Bevaras tmpfs-data efter en omstart?+
Nej, innehållet i tmpfs lagras uteslutande i arbetsminnet och går i princip förlorat vid avstängning eller omstart.
Kan tmpfs läsas ut i efterhand?+
Efter en omstart går det vanligtvis inte längre. En säkerhetskopiering är endast möjlig så länge systemet fortfarande är igång.
Använder containrar ofta tmpfs?+
Ja, tmpfs-monteringar används ofta för tillfälliga arbetskataloger i containrar, till exempel för cacher eller sessionsdata.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „kriminalteknisk klassificering av tmpfs och RAM-baserade filsystem"? LanCologne hjälper er med rättsligt hållbar säkerhetskopiering av digitala bevis samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu