IT-Forensik · Linux

RPM/YUM/DNF-Protokolle forensisch analysieren – Paketverwaltung auf RPM-basierten Distributionen auswerten

Auf RPM-basierten Distributionen wie Red Hat Enterprise Linux, CentOS, Rocky Linux oder Fedora übernehmen RPM sowie die darauf aufbauenden Werkzeuge YUM beziehungsweise DNF die Paketverwaltung und protokollieren dabei Installations- und Änderungsvorgänge.

Unverbindlich anfragen

Ähnlich wie bei Debian-basierten Systemen lässt sich anhand dieser Protokolle die Softwarehistorie eines Systems zeitlich nachvollziehen, wobei sich das konkrete Protokollformat je nach eingesetztem Werkzeug unterscheidet.

Warum LanCologne?

Seit der Gründung beschäftigt sich LanCologne schwerpunktmäßig mit der professionellen IT-Forensik. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung im Bereich der Informationstechnologie und unterstützen Unternehmen, Rechtsanwälte, Privatpersonen sowie regelmäßig auch Gerichte bei der technischen Aufklärung komplexer digitaler Sachverhalte.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Unsere Leistungen

Wir werten die vorhandenen RPM-, YUM- beziehungsweise DNF-Protokolle aus, rekonstruieren die Installationshistorie relevanter Pakete und ordnen diese in den zeitlichen Untersuchungskontext ein.

Typische Einsatzgebiete

•Nachweis der Installation bestimmter Software auf RPM-basierten Systemen
•Rekonstruktion nachträglich entfernter Pakete
•Untersuchung automatisierter Paketinstallationen im Rahmen eines Angriffs
•Abgleich der Softwarehistorie mit anderen Zeitlinienereignissen
•Incident Response auf Linux-Systemen
•Gerichtliche und außergerichtliche Gutachten

So läuft eine RPM/YUM/DNF-Analyse ab

Nach der Sicherung werden die vorhandenen RPM-Datenbankinhalte sowie YUM- beziehungsweise DNF-Protokolldateien erfasst und ausgewertet. Installations-, Update- und Entfernungsvorgänge werden chronologisch aufbereitet und mit weiteren Systemartefakten abgeglichen.

Warum ist die RPM/YUM/DNF-Analyse forensisch relevant?

Auch auf RPM-basierten Systemen kann die Installation bestimmter Werkzeuge ein wichtiger Baustein bei der Rekonstruktion eines Angriffsverlaufs sein, wobei die präzise Zeitangabe aus den Protokollen hierfür entscheidend ist.

Da unternehmenskritische Server häufig auf RPM-basierten Distributionen betrieben werden, ist eine belastbare Rekonstruktion der Softwarehistorie oft von besonderer wirtschaftlicher Bedeutung.

Häufige Fragen

Welche RPM-basierten Distributionen sind verbreitet?+
Unter anderem Red Hat Enterprise Linux, CentOS, Rocky Linux, AlmaLinux und Fedora, die sich in der grundlegenden Protokollstruktur ähneln.
Was ist der Unterschied zwischen YUM und DNF?+
DNF ist der modernere Nachfolger von YUM mit verbessertem Abhängigkeitsmanagement, beide protokollieren aber vergleichbare Vorgänge.
Können auch manuell installierte RPM-Pakete nachgewiesen werden?+
Ja, auch direkt installierte RPM-Pakete werden in der RPM-Datenbank erfasst und sind entsprechend auswertbar.

🔗 Verwandte Themen

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „RPM/YUM/DNF-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Jetzt Kontakt aufnehmen