IT-forensik · Linux

Forensisk analys av LXC/LXD-containrar – Utredning av systemcontainrar på ett forensiskt spårbart sätt

LXC och LXD, som bygger på LXC, har en mer systemorienterad approach än traditionella applikationscontainrar och skapar kompletta, lätta Linux-systemmiljöer inom en gemensam kärna.

Begär en icke-bindande offert

På grund av denna nära koppling till systemet liknar LXC/LXD-containrar ofta ett fullständigt Linux-system i sin interna uppbyggnad, vilket är anledningen till att många klassiska metoder inom Linux-systemforensik används vid den forensiska analysen av dem.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi säkerhetskopierar och analyserar LXC/LXD-containers filsystem samt tillhörande konfigurationer och tillämpar vid detta tillfälle etablerade metoder inom Linux-systemforensik på respektive containermiljö.

Typiska användningsområden

•Undersökning av komprometterade systemcontainrar
•Rekonstruktion av en containers interna användningshistorik
•Analys av konfigurationer som spänner över flera containrar
•Åtskillnad mellan värd- och containerspecifika fynd
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en LXC/LXD-analys till

Efter att containersystemet och tillhörande konfiguration har säkerhetskopierats undersöks miljön på samma sätt som ett komplett Linux-system. Containerspecifika konfigurationsfiler kontrolleras dessutom för att upptäcka eventuella avvikelser.

Varför är LXC/LXD-analysen relevant ur ett kriminaltekniskt perspektiv?

Eftersom LXC/LXD-containrar ofta utgör fullständiga systemmiljöer med egna tjänster och användarkonton kan det krävas en lika komplex undersökning inom en enskild container som för ett fristående system.

Att man delar samma värdkärna innebär samtidigt att vissa sårbarheter teoretiskt sett kan påverka flera containrar, vilket beaktas vid den forensiska utvärderingen.

Vanliga frågor

Vad skiljer LXC/LXD från Docker?+
LXC/LXD återger fullständiga Linux-miljöer som ligger nära operativsystemet, medan Docker främst tillhandahåller containrar som är inriktade på enskilda applikationer.
Kan en LXC-container undersökas som ett fristående system?+
I stort sett ja, eftersom den interna strukturen hos en LXC-container i hög grad liknar ett klassiskt Linux-filsystem.
Beaktas även LXD:s snapshot-funktioner?+
Ja, om sådana finns kan LXD-snapshots ge värdefull information om en containers tidigare tillstånd.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „kriminalteknisk analys av LXC/LXD-containrar"? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett rättsligt godtagbart sätt samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu