IT-Forensik · Linux

RPM/YUM/DNF-Protokolle forensisch analysieren – Paketverwaltung auf RPM-basierten Distributionen auswerten

Auf RPM-basierten Distributionen wie Red Hat Enterprise Linux, CentOS, Rocky Linux oder Fedora übernehmen RPM sowie die darauf aufbauenden Werkzeuge YUM beziehungsweise DNF die Paketverwaltung und protokollieren dabei Installations- und Änderungsvorgänge.

Nezávazná poptávka

Ähnlich wie bei Debian-basierten Systemen lässt sich anhand dieser Protokolle die Softwarehistorie eines Systems zeitlich nachvollziehen, wobei sich das konkrete Protokollformat je nach eingesetztem Werkzeug unterscheidet.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Wir werten die vorhandenen RPM-, YUM- beziehungsweise DNF-Protokolle aus, rekonstruieren die Installationshistorie relevanter Pakete und ordnen diese in den zeitlichen Untersuchungskontext ein.

Typické oblasti použití

•Nachweis der Installation bestimmter Software auf RPM-basierten Systemen
•Rekonstruktion nachträglich entfernter Pakete
•Untersuchung automatisierter Paketinstallationen im Rahmen eines Angriffs
•Abgleich der Softwarehistorie mit anderen Zeitlinienereignissen
•Incident Response auf Linux-Systemen
•Soudní a mimosoudní posudky

So läuft eine RPM/YUM/DNF-Analyse ab

Nach der Sicherung werden die vorhandenen RPM-Datenbankinhalte sowie YUM- beziehungsweise DNF-Protokolldateien erfasst und ausgewertet. Installations-, Update- und Entfernungsvorgänge werden chronologisch aufbereitet und mit weiteren Systemartefakten abgeglichen.

Warum ist die RPM/YUM/DNF-Analyse forensisch relevant?

Auch auf RPM-basierten Systemen kann die Installation bestimmter Werkzeuge ein wichtiger Baustein bei der Rekonstruktion eines Angriffsverlaufs sein, wobei die präzise Zeitangabe aus den Protokollen hierfür entscheidend ist.

Da unternehmenskritische Server häufig auf RPM-basierten Distributionen betrieben werden, ist eine belastbare Rekonstruktion der Softwarehistorie oft von besonderer wirtschaftlicher Bedeutung.

Často kladené otázky

Welche RPM-basierten Distributionen sind verbreitet?+
Unter anderem Red Hat Enterprise Linux, CentOS, Rocky Linux, AlmaLinux und Fedora, die sich in der grundlegenden Protokollstruktur ähneln.
Was ist der Unterschied zwischen YUM und DNF?+
DNF ist der modernere Nachfolger von YUM mit verbessertem Abhängigkeitsmanagement, beide protokollieren aber vergleichbare Vorgänge.
Können auch manuell installierte RPM-Pakete nachgewiesen werden?+
Ja, auch direkt installierte RPM-Pakete werden in der RPM-Datenbank erfasst und sind entsprechend auswertbar.

🔗 Související témata

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „RPM/YUM/DNF-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontaktujte nás hned teď