Informática forense · Linux

Análisis forense de los registros de RPM/YUM/DNF: evaluación de la gestión de paquetes en distribuciones basadas en RPM

En distribuciones basadas en RPM, como Red Hat Enterprise Linux, CentOS, Rocky Linux o Fedora, RPM y las herramientas derivadas de él, YUM y DNF, se encargan de la gestión de paquetes y registran los procesos de instalación y modificación.

Solicitar información sin compromiso

Al igual que en los sistemas basados en Debian, estos registros permiten reconstruir cronológicamente el historial de software de un sistema, aunque el formato concreto de los registros varía en función de la herramienta utilizada.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Analizamos los registros disponibles de RPM, YUM o DNF, reconstruimos el historial de instalación de los paquetes relevantes y los situamos en el contexto temporal de la investigación.

Ámbitos de aplicación habituales

•Comprobación de la instalación de un software concreto en sistemas basados en RPM
•Reconstrucción de paquetes eliminados posteriormente
•Análisis de las instalaciones automatizadas de paquetes en el marco de un ataque
•Sincronización del historial del software con otros acontecimientos de la línea temporal
•Respuesta ante incidentes en sistemas Linux
•Peritajes judiciales y extrajudiciales

Así es como se lleva a cabo un análisis de RPM/YUM/DNF

Tras la copia de seguridad, se recopilan y analizan los contenidos de la base de datos RPM, así como los archivos de registro de YUM y DNF. Los procesos de instalación, Update y desinstalación se organizan cronológicamente y se comparan con otros elementos del sistema.

¿Por qué es relevante desde el punto de vista forense el análisis de RPM/YUM/DNF?

También en los sistemas basados en RPM, la instalación de determinadas herramientas puede ser un elemento clave a la hora de reconstruir el desarrollo de un ataque, para lo cual resulta fundamental la información precisa sobre la hora que se desprende de los registros.

Dado que los sistemas Server, críticos para la empresa, suelen funcionar en distribuciones basadas en RPM, una reconstrucción fiable del historial del software suele revestir una especial importancia económica.

Preguntas frecuentes

¿Qué distribuciones basadas en RPM son las más habituales?+
Entre otros, Red Hat Enterprise Linux, CentOS, Rocky Linux, AlmaLinux y Fedora, que presentan una estructura de protocolos básica similar.
¿Cuál es la diferencia entre YUM y DNF?+
DNF es el sucesor más moderno de YUM, con una gestión de dependencias mejorada, aunque ambos registran operaciones similares.
¿Se pueden detectar también los paquetes RPM instalados manualmente?+
Sí, los paquetes RPM instalados directamente también se registran en la base de datos RPM y, por lo tanto, pueden analizarse.

🔗 Temas relacionados

LanCologne – Análisis forense de Linux en Colonia

¿Necesita un análisis forense profesional sobre „Análisis forense de los registros de RPM/YUM/DNF"? LanCologne le ayuda a realizar copias de seguridad de pruebas digitales válidas ante los tribunales, así como a llevar a cabo un análisis trazable de los artefactos relevantes de Linux.

Ponte en contacto con nosotros ahora