IT-forensik · Linux

Forensisk analys av utökade attribut (xattr) – Ytterligare metadata utöver klassiska attribut

Utökade attribut kompletterar de klassiska filmetadata med ytterligare namn-värde-par som kan användas av applikationer, säkerhetsmekanismer eller själva systemet. Exempel på detta är SELinux-säkerhetskontexter, kapaciteter eller upphovsinformation för nedladdade filer.

Begär en icke-bindande offert

Eftersom utökade attribut inte alltid läses ut som standard kan de innehålla ytterligare information av forensisk betydelse som lätt kan förbises vid en ytlig undersökning.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi analyserar befintliga utökade attribut systematiskt och kopplar dem till respektive säkerhets-, ursprungs- eller användningskontext för att utvinna ytterligare information som är relevant för den forensiska utredningen.

Typiska användningsområden

•Analys av SELinux-säkerhetskontexter
•Bevis på ursprunget för nedladdade filer
•Undersökning av enskilda programmens kapacitet
•Komplettering av klassiska metadatanalyser
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en analys av utökade attribut till

Efter säkerhetskopieringen kontrolleras relevanta filer och kataloger systematiskt med avseende på eventuella utökade attribut. De attribut som upptäcks dokumenteras och klassificeras utifrån respektive säkerhets- eller användningssammanhang för att få fram ytterligare forensiska rön.

Varför är xattr-analysen relevant ur ett kriminaltekniskt perspektiv?

Utökade attribut kan innehålla information som går utöver vanliga filmetadata, till exempel om en fils ursprung eller tilldelade säkerhetsrättigheter. De förbises ibland vid standardundersökningar.

För att kunna tolka resultaten korrekt krävs kunskap om den aktuella applikationen eller säkerhetsmekanismen som har aktiverat attributet. Därför utvärderas xattr-resultat alltid i det undersökta systemets sammanhang.

Vanliga frågor

Vad är utökade attribut?+
Ytterligare namn-värde-par som kan läggas till en fil eller en katalog utöver de vanliga filmetadata.
Säkerhetskopieras utökade attribut automatiskt?+
Vid en korrekt forensisk säkerhetskopiering av råavbilden bevaras de, men måste läsas ut på ett målinriktat sätt för att kunna analyseras.
Vilka säkerhetsmekanismer använder utökade attribut?+
Bland annat SELinux för säkerhetskontexter samt olika program för att markera filernas ursprung.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „kriminalteknisk analys av utökade attribut (xattr)"? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu