IT-kriminalteknik · Linux

RPM/YUM/DNF-Protokolle forensisch analysieren – Paketverwaltung auf RPM-basierten Distributionen auswerten

Auf RPM-basierten Distributionen wie Red Hat Enterprise Linux, CentOS, Rocky Linux oder Fedora übernehmen RPM sowie die darauf aufbauenden Werkzeuge YUM beziehungsweise DNF die Paketverwaltung und protokollieren dabei Installations- und Änderungsvorgänge.

Uforpligtende forespørgsel

Ähnlich wie bei Debian-basierten Systemen lässt sich anhand dieser Protokolle die Softwarehistorie eines Systems zeitlich nachvollziehen, wobei sich das konkrete Protokollformat je nach eingesetztem Werkzeug unterscheidet.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Wir werten die vorhandenen RPM-, YUM- beziehungsweise DNF-Protokolle aus, rekonstruieren die Installationshistorie relevanter Pakete und ordnen diese in den zeitlichen Untersuchungskontext ein.

Typiske anvendelsesområder

•Nachweis der Installation bestimmter Software auf RPM-basierten Systemen
•Rekonstruktion nachträglich entfernter Pakete
•Untersuchung automatisierter Paketinstallationen im Rahmen eines Angriffs
•Abgleich der Softwarehistorie mit anderen Zeitlinienereignissen
•Incident Response auf Linux-Systemen
•Retslige og udenretslige ekspertudtalelser

So läuft eine RPM/YUM/DNF-Analyse ab

Nach der Sicherung werden die vorhandenen RPM-Datenbankinhalte sowie YUM- beziehungsweise DNF-Protokolldateien erfasst und ausgewertet. Installations-, Update- und Entfernungsvorgänge werden chronologisch aufbereitet und mit weiteren Systemartefakten abgeglichen.

Warum ist die RPM/YUM/DNF-Analyse forensisch relevant?

Auch auf RPM-basierten Systemen kann die Installation bestimmter Werkzeuge ein wichtiger Baustein bei der Rekonstruktion eines Angriffsverlaufs sein, wobei die präzise Zeitangabe aus den Protokollen hierfür entscheidend ist.

Da unternehmenskritische Server häufig auf RPM-basierten Distributionen betrieben werden, ist eine belastbare Rekonstruktion der Softwarehistorie oft von besonderer wirtschaftlicher Bedeutung.

Ofte stillede spørgsmål

Welche RPM-basierten Distributionen sind verbreitet?+
Unter anderem Red Hat Enterprise Linux, CentOS, Rocky Linux, AlmaLinux und Fedora, die sich in der grundlegenden Protokollstruktur ähneln.
Was ist der Unterschied zwischen YUM und DNF?+
DNF ist der modernere Nachfolger von YUM mit verbessertem Abhängigkeitsmanagement, beide protokollieren aber vergleichbare Vorgänge.
Können auch manuell installierte RPM-Pakete nachgewiesen werden?+
Ja, auch direkt installierte RPM-Pakete werden in der RPM-Datenbank erfasst und sind entsprechend auswertbar.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Sie benötigen eine professionelle forensische Untersuchung zu „RPM/YUM/DNF-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontakt os nu