IT-kriminalteknik · Linux

Forensisk analyse af dpkg-logfiler – evaluering af pakkestatus og installationsdetaljer

dpkg er det underliggende pakkehåndteringsværktøj på Debian-baserede systemer, som APT også bygger på, og det fører sine egne, mere detaljerede logfiler over installerede pakker og deres status.

Uforpligtende forespørgsel

Mens APT-protokoller hovedsageligt dokumenterer de udløsende handlinger, leverer dpkg desuden et detaljeret statusdatasæt, hvorfra man kan udlede den nøjagtige installationsstatus for de enkelte pakker.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi analyserer dpkg-statusdatabasen samt de tilhørende logfiler for at fastslå den nøjagtige installationsstatus for de enkelte pakker og sammenholde denne med andre fund.

Typiske anvendelsesområder

•Bestemmelse af den nøjagtige installationstilstand for de enkelte pakker
•Supplering og verifikation af APT-protokolresultater
•Oversigt over installerede pakkeversioner på et bestemt tidspunkt
•Undersøgelse af manuelt installerede pakker, der ikke er hentet via repositorier
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en dpkg-analyse

Efter sikkerhedskopieringen læses dpkg-statusdatabasen ud og sammenlignes med de supplerende logfiler. Pakker, der afviger fra det forventede, eller som er installeret manuelt og ikke er hentet fra de konfigurerede standardrepositorier, kontrolleres separat.

Hvorfor er dpkg-analysen relevant i forbindelse med kriminalteknisk efterforskning?

Den detaljerede pakkestatus kan give oplysninger om de nøjagtige versionsnumre, hvilket f.eks. kan være relevant ved vurderingen af kendte sårbarheder på et bestemt tidspunkt.

Pakker, der er installeret manuelt og ikke stammer fra standardrepositorier, fortjener særlig opmærksomhed, da de kan udgøre en mulig indgang for skadelig software.

Ofte stillede spørgsmål

Hvad er forskellen mellem dpkg og APT?+
dpkg styrer selve pakkeinstallationen og statusdatabasen, mens APT som overordnet værktøj løser afhængigheder og administrerer repositorier.
Er det muligt at rekonstruere versionsstatus på et bestemt tidspunkt?+
Med de rette logfiler og tidsstempler er dette i mange tilfælde muligt.
Registreres også manuelt installerede .deb-pakker?+
Ja, også manuelt installerede pakker registreres i dpkg-statusdatabasen.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsmedicinsk undersøgelse af „retsmedicinsk analyse af dpkg-logfiler"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en gennemsigtig analyse af relevante Linux-artefakter.

Kontakt os nu