IT forenzika · Linux

Forenzní analýza protokolů správce balíčků APT – vyhodnocení historie instalací a změn v systémech založených na Debianu

Správce balíčků APT, používaný v systému Debian a distribucích z něj odvozených, jako je Ubuntu, zaznamenává procesy instalace, aktualizace a odinstalace do několika protokolových souborů, které umožňují časovou rekonstrukci historie softwaru v systému.

Nezávazná poptávka

Tyto protokoly mohou dokládat, kdy byl určitý software nainstalován nebo odinstalován, což je důležité zejména při posuzování, zda a kdy byly nainstalovány nástroje, které mohly být využity při pozdější události.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Systematicky vyhodnocujeme dostupné soubory protokolů APT, rekonstruujeme historii instalací příslušných balíčků a zařazujeme jednotlivé události do časového kontextu vyšetřování.

Typické oblasti použití

•Důkaz o instalaci určitého softwaru v určitých časových okamžicích
•Rekonstrukce nástrojů, které byly dodatečně odstraněny
•Analýza automatizovaných instalací balíčků v rámci útoku
•Porovnání historie softwaru s dalšími událostmi na časové ose
•Reakce na incidenty v systémech Linux
•Soudní a mimosoudní posudky

Takto probíhá analýza protokolu APT

Po zálohování jsou stávající soubory protokolů APT kompletně zaznamenány a vyhodnoceny. Instalace, operace Update a odinstalace jsou seřazeny chronologicky a porovnány s dalšími systémovými údaji, jako jsou časová razítka souborového systému, aby byl získán ucelený a konzistentní přehled.

Proč je analýza protokolu APT důležitá z forenzního hlediska?

Instalace určitých nástrojů, například pro skenování sítě nebo exfiltraci dat, může být důležitým prvkem při rekonstrukci průběhu útoku, a protokoly APT k tomu často poskytují přesné časové údaje.

I dodatečné odstranění softwaru může mít forenzní význam, například pokud se někdo pokusil zahladit stopy po použitém nástroji, což lze částečně ještě vysledovat v protokolech.

Často kladené otázky

Jak dlouho se uchovávají protokoly APT?+
To závisí na konfiguraci systému a případné rotaci protokolů; starší protokoly již mohou být zkomprimovány nebo smazány.
Lze odstraněné balíčky ještě dohledat?+
Často ano, pokud jsou příslušné záznamy v protokolech stále k dispozici, i když samotný balíček již není nainstalován.
Vztahují se tyto protokoly také na automatické Update?+
Ano, zaznamenávají se jak ručně spouštěné, tak automatizované aktualizace, pokud probíhají prostřednictvím APT.

🔗 Související témata

LanCologne – Forenzní analýza Linuxu v Kolíně nad Rýnem

Potřebujete profesionální forenzní vyšetřování v oblasti „forenzní analýzy protokolů správce balíčků APT"? Společnost LanCologne vám pomůže s pořízením digitálních důkazů splňujících soudní požadavky a s transparentním vyhodnocením relevantních artefaktů systému Linux.

Kontaktujte nás hned teď