IT-Forensik · Linux

last- und lastlog-Protokolle forensisch analysieren – Anmeldehistorien nachvollziehbar auswerten

Die Dateien wtmp und lastlog protokollieren Anmeldehistorien einzelner Benutzerkonten, einschließlich Zeitpunkt, Terminal und teilweise Herkunft der Anmeldung. Sie bilden die Datengrundlage für Befehle wie last und lastlog.

Nezávazná poptávka

Für die forensische Auswertung werden diese Dateien nicht über die Standardbefehle des laufenden Systems ausgewertet, sondern direkt aus der gesicherten Kopie extrahiert, um Manipulationen am laufenden System auszuschließen.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Wir extrahieren wtmp- und lastlog-Daten direkt aus dem gesicherten Abbild, rekonstruieren die vollständige Anmeldehistorie und gleichen sie mit weiteren Authentifizierungsprotokollen ab.

Typické oblasti použití

•Rekonstruktion von Anmeldezeiten und -herkunft
•Nachweis unautorisierter Zugriffe auf Benutzerkonten
•Untersuchung ungewöhnlicher Anmeldemuster
•Abgleich mit SSH- und PAM-Protokollen
•Incident Response auf Linux-Systemen
•Soudní a mimosoudní posudky

So läuft eine last-/lastlog-Analyse ab

Nach der Sicherung werden die relevanten Binärdateien direkt aus dem forensischen Abbild extrahiert und strukturiert ausgewertet. Die daraus rekonstruierte Anmeldehistorie wird anschließend mit SSH-, PAM- und weiteren Authentifizierungsprotokollen abgeglichen, um ein konsistentes Gesamtbild zu erhalten.

Warum ist diese Analyse forensisch relevant?

Anmeldehistorien sind häufig zentraler Ausgangspunkt für die Aufklärung unautorisierter Zugriffe oder ungewöhnlicher Nutzungsmuster einzelner Benutzerkonten.

Da diese Dateien grundsätzlich manipulierbar sind, wird ihre Aussagekraft stets im Abgleich mit unabhängigen weiteren Quellen wie SSH- oder Auditd-Protokollen bewertet, statt isoliert betrachtet zu werden.

Často kladené otázky

Was ist der Unterschied zwischen wtmp und lastlog?+
wtmp protokolliert eine fortlaufende Historie aller An- und Abmeldungen, lastlog speichert dagegen für jeden Benutzer nur die jeweils letzte Anmeldung.
Können diese Dateien manipuliert werden?+
Ja, grundsätzlich ist eine Manipulation durch Benutzer mit ausreichenden Rechten möglich, weshalb ein Abgleich mit weiteren Quellen erfolgt.
Reicht der last-Befehl für eine forensische Auswertung aus?+
Nein, für eine forensisch belastbare Auswertung werden die zugrunde liegenden Binärdateien direkt aus dem gesicherten Abbild ausgewertet.

🔗 Související témata

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „last- und lastlog-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontaktujte nás hned teď