IT-forensik · Linux

Forensisk analys av papperskorgen – Återställa filer som tros ha raderats i Linux

Grafiska Linux-skrivbordsmiljöer implementerar vanligtvis en papperskorgsfunktion enligt en allmänt vedertagen specifikation, där raderade filer först flyttas till en dold katalog istället för att tas bort omedelbart.

Begär en icke-bindande offert

Förutom själva filen lagras vanligtvis även metadata, såsom den ursprungliga lagringsplatsen och tidpunkten för raderingen, i separata informationsfiler, vilket möjliggör en särskilt noggrann forensisk rekonstruktion.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi analyserar systematiskt papperskorgen i ett Linux-system, extraherar filerna som finns där tillsammans med tillhörande metadata och rekonstruerar utifrån detta den ursprungliga lagringsplatsen och tidpunkten för raderingen.

Typiska användningsområden

•Återställning av filer som finns i papperskorgen
•Bevis på den ursprungliga lagringsplatsen för raderade filer
•Rekonstruktion av den exakta tidpunkten för släckningen
•Komplement till mer avancerade filåterställningsmetoder på filsystemnivå
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en trash-analys till

Efter säkerhetskopieringen identifieras de relevanta papperskorgen och deras innehåll, inklusive tillhörande metadatafiler, extraheras. Den ursprungliga lagringsplatsen och tidpunkten för raderingen kopplas till respektive fil och dokumenteras.

Varför är analysen av skräpfiler relevant för kriminaltekniken?

Till skillnad från en klassisk, permanent radering tillhandahåller papperskorgsmekanismen ofta både själva filen och exakta metadata om raderingstidpunkt och ursprung, vilket avsevärt underlättar det kriminaltekniska bevisförfarandet.

Eftersom papperskorgen vanligtvis inte tas bort förrän den töms manuellt kan filerna i den fortfarande gå att återställa i sin helhet även lång tid efter att de egentligen har raderats.

Vanliga frågor

Läggs varje raderad fil automatiskt i papperskorgen?+
Inte nödvändigtvis, det beror på hur raderingen gjordes, till exempel om den gjordes via det grafiska gränssnittet eller via ett kommandoradsverktyg.
Vad händer efter att papperskorgen har tömts?+
Filerna raderas på vanligt sätt, och återställning är då endast möjlig genom mer avancerade metoder för återställning av filsystemet.
Registreras även metadata om den ursprungliga lagringsplatsen?+
Ja, papperskorgen skapar vanligtvis egna informationsfiler för detta ändamål, som sedan analyseras.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „kriminalteknisk analys av papperskorgen"? LanCologne hjälper er med att säkra digitala bevis på ett sätt som håller i domstol samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu