IT-forensik · Linux

Forensisk analys av OverlayFS – Korrekt utvärdering av skiktade filsystem

OverlayFS kombinerar flera kataloglager till ett gemensamt filsystem som är transparent för applikationer. Det används ofta i container-körmiljöer som Docker samt i Live-Linux-system.

Begär en icke-bindande offert

För den forensiska analysen är det avgörande att skilja mellan det oföränderliga nedre lagret och det skrivbara övre lagret, eftersom endast det övre lagret innehåller de ändringar som gjorts under körningen.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi identifierar de berörda OverlayFS-lagren, skiljer innehållet i de nedre och övre lagren åt och utvärderar specifikt de ändringar som gjorts i det övre lagret under körningen.

Typiska användningsområden

•Undersökning av containerbaserade körmiljöer
•Analys av Live-Linux- och räddningssystem
•Rekonstruktion av förändringar under körningstiden
•Åtskillnad mellan basbild och körningsdata
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en OverlayFS-analys till

Efter säkerhetskopieringen fastställs först lagerstrukturen för OverlayFS-monteringen. De nedre och övre lagren analyseras separat, med fokus på de ändringar som gjorts under körning och som finns i det övre lagret. Resultaten korreleras med respektive container- eller systemkontext.

Varför är OverlayFS-analysen relevant ur ett kriminaltekniskt perspektiv?

Container- och livesystem använder OverlayFS för att lämna basavbildningarna oförändrade och registrera ändringar under körning separat. Dessa ändringar under körning är ofta av avgörande betydelse för kriminaltekniska undersökningar.

Om lagerstrukturen inte beaktas på rätt sätt kan innehållet i basbilden felaktigt tolkas som ändringar som sker under körning, eller tvärtom. Det är därför nödvändigt att göra en noggrann åtskillnad.

Vanliga frågor

Vad är skillnaden mellan Lower- och Upper-Layer?+
Det undre lagret är vanligtvis oföränderligt och innehåller grunddata, medan det övre lagret lagrar de ändringar som görs under körningen.
Används OverlayFS av Docker?+
Ja, OverlayFS och de lagringsdrivrutiner som bygger på det hör till de vanligaste lagringsdrivrutinerna för containeravbildningar och -körmiljöer.
Bevaras ändringarna efter att en container har avslutats?+
Det beror på konfigurationen. Utan en persistent volym kan ändringar i de övre lagren gå förlorade när containern tas bort.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „OverlayFS – kriminalteknisk analys"? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu