Informatique légale · Linux

Analyse forensic de la configuration de rsyslog – Évaluation correcte de l'étendue de la journalisation

rsyslog est l'une des implémentations les plus répandues de la norme Syslog sous Linux et offre de nombreuses possibilités de configuration pour le filtrage, le transfert et le stockage des données de journalisation.

Demande sans engagement

La configuration concrète de rsyslog détermine quels événements sont enregistrés, où ils sont transférés et combien de temps ils sont conservés. Cette configuration doit être analysée avant l'analyse du contenu des journaux afin d'en évaluer correctement la pertinence.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons la configuration active de rsyslog afin de déterminer l'étendue réelle de la journalisation, les éventuels transferts vers le serveur central Log-Server et la durée de conservation configurée.

Domaines d'application typiques

•Évaluation de l'étendue réelle de la journalisation
•Suivi des transferts de journaux vers les systèmes centraux
•Explication des modifications apportées a posteriori aux configurations de journalisation
•Préparation d'une analyse Syslog appropriée
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'analyse de la configuration de rsyslog

Une fois la sauvegarde effectuée, la configuration rsyslog existante est analysée de manière systématique, y compris les règles de filtrage actives, les systèmes cibles et les paramètres de rotation. On vérifie ensuite si la configuration contient des indices de modifications ultérieures, avant de procéder à l'analyse proprement dite des journaux.

En quoi cette classification présente-t-elle un intérêt sur le plan médico-légal ?

Sans connaître la configuration active, il est impossible de déterminer de manière fiable si l'absence de certaines entrées de protocole est due à une absence effective de ces événements ou à une configuration ciblée ou insuffisante.

En cas de suspicion de modification a posteriori de la configuration de la journalisation, par exemple dans le but de dissimuler certaines activités, celle-ci fait l'objet d'une enquête distincte et est documentée.

Foire aux questions

Est-il possible de manipuler une configuration rsyslog pour dissimuler des traces ?+
Oui, une modification ciblée des règles de filtrage peut avoir pour conséquence que certains événements ne soient plus consignés. Cet aspect est pris en compte lors de la classification.
Les journaux sont-ils souvent transférés vers un système central Server ?+
Dans les environnements d'entreprise, la collecte centralisée des journaux est courante, ce qui peut ouvrir la voie à des sources d'analyse supplémentaires et indépendantes.
L'analyse de la configuration remplace-t-elle l'analyse proprement dite des journaux ?+
Non, il s'agit d'une étape préparatoire indispensable qui permet de replacer correctement dans son contexte l'analyse de fond qui suivra.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire de la configuration de rsyslog " ? LanCologne vous aide à sécuriser les preuves numériques de manière à ce qu'elles soient recevables devant les tribunaux, ainsi qu'à analyser de manière traçable les artefacts Linux pertinents.

Nous contacter dès maintenant