IT-forensik · Linux

Forensisk analys av KVM/QEMU-virtualisering – Forensisk undersökning av virtuella maskiner under Linux

KVM i kombination med QEMU utgör den vanligaste inbyggda virtualiseringslösningen under Linux och gör det möjligt att köra fullständiga virtuella maskiner med egna virtuella hårddiskar, som vanligtvis finns i form av filer.

Begär en icke-bindande offert

Både konfigurationen av den virtuella maskinen och dess virtuella hårddiskar samt eventuella ögonblicksbilder utgör separata föremål för den kriminaltekniska undersökningen.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi säkerhetskopierar och analyserar KVM/QEMU-konfigurationer, avbildningar av virtuella hårddiskar och befintliga ögonblicksbilder, och genomför vid behov en fullständig forensisk undersökning av de virtuella systemen som ingår.

Typiska användningsområden

•Forensisk säkerhetskopiering och analys av virtuella maskiner
•Undersökning av komprometterade virtualiseringsmiljöer
•Analys av befintliga ögonblicksbilder för att rekonstruera historiska systemtillstånd
•Bevis på virtuella maskiner som skapats utan behörighet
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en KVM/QEMU-analys till

Efter att konfigurationsfilerna och avbildningarna av de virtuella hårddiskarna har säkerhetskopierats integreras dessa, om så krävs, i en forensisk undersökning och granskas som ett fristående system. Befintliga ögonblicksbilder analyseras separat för att fastställa tidigare systemtillstånd.

Varför är KVM/QEMU-analysen relevant ur ett kriminaltekniskt perspektiv?

Virtuella maskiner kan, precis som fysiska system, vara mål eller utgångspunkt för en attack, och deras konfiguration samt befintliga ögonblicksbilder kan ge ytterligare forensiska ledtrådar som inte finns hos fysiska system.

I synnerhet virtuella maskiner som skapats utan tillstånd eller som döljts på en virtualiseringsvärd kan tyda på missbruk av infrastrukturen och söks därför särskilt efter.

Vanliga frågor

Hur integreras virtuella hårddiskavbildningar i en kriminalteknisk utredning?+
Genom specialiserade, skrivskyddade inbindningsmetoder som möjliggör granskning utan att originalbilden förändras.
Kan ögonblicksbilder återskapa tidigare systemtillstånd fullständigt?+
I många fall ja, beroende på vilket snapshot-format som används och när det skapades.
Är det möjligt att göra en realtidsanalys av en virtuell maskin som är igång?+
Ja, jämförbart med en realtidsmätning av ett fysiskt system, med hänsyn tagen till de särdrag som är specifika för virtualisering.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „Kriminalteknisk analys av KVM/QEMU-virtualisering"? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu