IT-Forensik · Linux

wtmp- und utmp-Dateien forensisch analysieren – Sitzungsdaten im Detail auswerten

wtmp und utmp speichern strukturierte Datensätze zu Benutzersitzungen, darunter Terminal, Prozess-ID, Zeitstempel und teilweise Herkunftsadresse. Während utmp den aktuellen Sitzungszustand widerspiegelt, führt wtmp eine historische Aufzeichnung.

Enquire without obligation

Die binäre Struktur dieser Dateien erfordert für eine forensisch nachvollziehbare Auswertung eine strukturierte Extraktion einzelner Datensätze, statt sich ausschließlich auf textuelle Zusammenfassungen zu verlassen.

Why LanCologne?

Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and assist companies, solicitors, private individuals and, on a regular basis, the courts in the technical investigation of complex digital matters.

The examination is, as a matter of principle, carried out exclusively on a forensic copy, a forensic image or a data source captured in a technically equivalent manner that preserves the integrity of the evidence. The original evidence remains unchanged and is stored in a manner that preserves its integrity.

Our services

Wir extrahieren einzelne Sitzungsdatensätze aus wtmp und utmp, rekonstruieren daraus Sitzungsdauer und -herkunft und ordnen die Ergebnisse den jeweiligen Benutzerkonten und Prozessen zu.

Typical areas of application

•Rekonstruktion einzelner Benutzersitzungen
•Nachweis der Sitzungsdauer bei sicherheitsrelevanten Vorfällen
•Untersuchung paralleler oder ungewöhnlicher Sitzungen
•Abgleich mit Prozess- und Netzwerkaktivitäten
•Incident Response auf Linux-Systemen
•Judicial and non-judicial expert reports

So läuft eine wtmp-/utmp-Analyse ab

Nach der Sicherung werden die binären Datensätze aus wtmp und utmp strukturiert extrahiert und chronologisch aufbereitet. Sitzungsbeginn, -ende und beteiligte Prozesse werden dokumentiert und mit weiteren Systemartefakten wie Prozesslisten und Netzwerkverbindungen korreliert.

Warum ist diese Analyse forensisch relevant?

Detaillierte Sitzungsinformationen ermöglichen eine präzisere zeitliche Rekonstruktion als eine reine Anmeldeliste, insbesondere bei der Untersuchung paralleler oder länger andauernder Sitzungen.

Die Kombination aus wtmp- und utmp-Daten mit Prozess- und Netzwerkinformationen erlaubt eine belastbarere Einordnung, welche Aktivitäten tatsächlich während einer bestimmten Sitzung stattgefunden haben könnten.

Frequently Asked Questions

Was zeigt utmp im Gegensatz zu wtmp?+
utmp bildet den aktuellen Sitzungszustand ab, während wtmp eine fortlaufende historische Aufzeichnung aller Sitzungen enthält.
Sind diese Dateien auf jedem Linux-System vorhanden?+
In der Regel ja, sie gehören zu den Standardmechanismen zur Sitzungsverwaltung auf klassischen Linux-Systemen.
Können daraus Rückschlüsse auf entfernte Zugriffe gezogen werden?+
Teilweise, sofern Herkunftsinformationen wie Terminal oder IP-Adresse mitprotokolliert wurden.

🔗 Related topics

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „wtmp- und utmp-Dateien forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Get in touch now