IT-Forensik · Linux

last- und lastlog-Protokolle forensisch analysieren – Anmeldehistorien nachvollziehbar auswerten

Die Dateien wtmp und lastlog protokollieren Anmeldehistorien einzelner Benutzerkonten, einschließlich Zeitpunkt, Terminal und teilweise Herkunft der Anmeldung. Sie bilden die Datengrundlage für Befehle wie last und lastlog.

Demande sans engagement

Für die forensische Auswertung werden diese Dateien nicht über die Standardbefehle des laufenden Systems ausgewertet, sondern direkt aus der gesicherten Kopie extrahiert, um Manipulationen am laufenden System auszuschließen.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir extrahieren wtmp- und lastlog-Daten direkt aus dem gesicherten Abbild, rekonstruieren die vollständige Anmeldehistorie und gleichen sie mit weiteren Authentifizierungsprotokollen ab.

Domaines d'application typiques

•Rekonstruktion von Anmeldezeiten und -herkunft
•Nachweis unautorisierter Zugriffe auf Benutzerkonten
•Untersuchung ungewöhnlicher Anmeldemuster
•Abgleich mit SSH- und PAM-Protokollen
•Incident Response auf Linux-Systemen
•Expertises judiciaires et extrajudiciaires

So läuft eine last-/lastlog-Analyse ab

Nach der Sicherung werden die relevanten Binärdateien direkt aus dem forensischen Abbild extrahiert und strukturiert ausgewertet. Die daraus rekonstruierte Anmeldehistorie wird anschließend mit SSH-, PAM- und weiteren Authentifizierungsprotokollen abgeglichen, um ein konsistentes Gesamtbild zu erhalten.

Warum ist diese Analyse forensisch relevant?

Anmeldehistorien sind häufig zentraler Ausgangspunkt für die Aufklärung unautorisierter Zugriffe oder ungewöhnlicher Nutzungsmuster einzelner Benutzerkonten.

Da diese Dateien grundsätzlich manipulierbar sind, wird ihre Aussagekraft stets im Abgleich mit unabhängigen weiteren Quellen wie SSH- oder Auditd-Protokollen bewertet, statt isoliert betrachtet zu werden.

Foire aux questions

Was ist der Unterschied zwischen wtmp und lastlog?+
wtmp protokolliert eine fortlaufende Historie aller An- und Abmeldungen, lastlog speichert dagegen für jeden Benutzer nur die jeweils letzte Anmeldung.
Können diese Dateien manipuliert werden?+
Ja, grundsätzlich ist eine Manipulation durch Benutzer mit ausreichenden Rechten möglich, weshalb ein Abgleich mit weiteren Quellen erfolgt.
Reicht der last-Befehl für eine forensische Auswertung aus?+
Nein, für eine forensisch belastbare Auswertung werden die zugrunde liegenden Binärdateien direkt aus dem gesicherten Abbild ausgewertet.

🔗 Sujets connexes

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „last- und lastlog-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nous contacter dès maintenant