14、分布式文件系统取证：Ceph案例研究

分布式文件系统取证：Ceph案例研究

1. 调查发现概述

对Ceph的调查揭示了以下关键信息：
1. Ceph集群的配置情况。
2. 正常Ceph操作期间受影响的本地驱动器部分。
3. 用户数据在Ceph集群中的存储位置。
4. 从对象存储设备中读取和恢复数据的能力。
5. 对象存储设备本身的相关信息。
6. 元数据的存储位置。

通过这一系列调查，我们对Ceph如何存储数据以及在执行各种操作时数据在文件系统中的移动方式有了更深入的了解。我们认为这些操作会使系统产生特定行为，并留下对取证调查人员有价值的系统信息痕迹。同时，这也是验证所建议的框架是否适用于所有文件系统，以及适用程度和差异的一种方式。该框架建议在调查时关注三类数据，包括易失性环境元数据、非易失性环境数据和配置文件。

2. 目录服务

2.1 目录服务检测

使用OSForensics软件在所有节点的原始数据中搜索原始文档标题，能够快速检测到原始数据。不同的快照会带来不同的搜索结果，这有助于我们观察数据在复制、移动或删除过程中的变化情况。后续在介绍对象存储设备（OSD）的发现时，会更详细地阐述这一点。

2.2 关键信息查找

框架指出，在目录（DIR）中应查找文件系统安装后访问数据的IP地址、唯一用户标识符（UUID）以及服务注册表和配置文件。我们成功识别出了用于Ceph配置的节点的IP地址。

借助CapLoader，我们可以查看Ceph集群中使用的IP地址、端口和主机信息。此外，还能恢复与复制、移动和删除操作相关的数据，如文件名及其内容，这将在OSD部分详