IT-Forensik · Linux

RPM/YUM/DNF-Protokolle forensisch analysieren – Paketverwaltung auf RPM-basierten Distributionen auswerten

Auf RPM-basierten Distributionen wie Red Hat Enterprise Linux, CentOS, Rocky Linux oder Fedora übernehmen RPM sowie die darauf aufbauenden Werkzeuge YUM beziehungsweise DNF die Paketverwaltung und protokollieren dabei Installations- und Änderungsvorgänge.

Demande sans engagement

Ähnlich wie bei Debian-basierten Systemen lässt sich anhand dieser Protokolle die Softwarehistorie eines Systems zeitlich nachvollziehen, wobei sich das konkrete Protokollformat je nach eingesetztem Werkzeug unterscheidet.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir werten die vorhandenen RPM-, YUM- beziehungsweise DNF-Protokolle aus, rekonstruieren die Installationshistorie relevanter Pakete und ordnen diese in den zeitlichen Untersuchungskontext ein.

Domaines d'application typiques

•Nachweis der Installation bestimmter Software auf RPM-basierten Systemen
•Rekonstruktion nachträglich entfernter Pakete
•Untersuchung automatisierter Paketinstallationen im Rahmen eines Angriffs
•Abgleich der Softwarehistorie mit anderen Zeitlinienereignissen
•Incident Response auf Linux-Systemen
•Expertises judiciaires et extrajudiciaires

So läuft eine RPM/YUM/DNF-Analyse ab

Nach der Sicherung werden die vorhandenen RPM-Datenbankinhalte sowie YUM- beziehungsweise DNF-Protokolldateien erfasst und ausgewertet. Installations-, Update- und Entfernungsvorgänge werden chronologisch aufbereitet und mit weiteren Systemartefakten abgeglichen.

Warum ist die RPM/YUM/DNF-Analyse forensisch relevant?

Auch auf RPM-basierten Systemen kann die Installation bestimmter Werkzeuge ein wichtiger Baustein bei der Rekonstruktion eines Angriffsverlaufs sein, wobei die präzise Zeitangabe aus den Protokollen hierfür entscheidend ist.

Da unternehmenskritische Server häufig auf RPM-basierten Distributionen betrieben werden, ist eine belastbare Rekonstruktion der Softwarehistorie oft von besonderer wirtschaftlicher Bedeutung.

Foire aux questions

Welche RPM-basierten Distributionen sind verbreitet?+
Unter anderem Red Hat Enterprise Linux, CentOS, Rocky Linux, AlmaLinux und Fedora, die sich in der grundlegenden Protokollstruktur ähneln.
Was ist der Unterschied zwischen YUM und DNF?+
DNF ist der modernere Nachfolger von YUM mit verbessertem Abhängigkeitsmanagement, beide protokollieren aber vergleichbare Vorgänge.
Können auch manuell installierte RPM-Pakete nachgewiesen werden?+
Ja, auch direkt installierte RPM-Pakete werden in der RPM-Datenbank erfasst und sind entsprechend auswertbar.

🔗 Sujets connexes

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „RPM/YUM/DNF-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nous contacter dès maintenant