Informatique légale · Linux

Analyse forensic des journaux du gestionnaire de paquets APT – Évaluation de l'historique des installations et des modifications sur les systèmes basés sur Debian

Le gestionnaire de paquets APT, utilisé sous Debian et dans les distributions dérivées telles qu'Ubuntu, consigne les opérations d'installation, de mise à jour et de désinstallation dans plusieurs fichiers journaux, ce qui permet de retracer l'historique logiciel d'un système au fil du temps.

Demande sans engagement

Ces journaux peuvent permettre de déterminer quand certains logiciels ont été installés ou désinstallés, ce qui est particulièrement pertinent pour déterminer si et quand des outils susceptibles d'avoir été utilisés lors d'un incident ultérieur ont été installés.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons systématiquement les fichiers journaux APT existants, reconstituons l'historique d'installation des paquets concernés et replaçons chaque opération dans son contexte chronologique au sein de l'enquête.

Domaines d'application typiques

•Preuve de l'installation de certains logiciels à des moments précis
•Reconstitution d'outils retirés a posteriori
•Étude des installations automatisées de paquets dans le cadre d'une attaque
•Recoupement de l'historique du logiciel avec d'autres événements chronologiques
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse du protocole APT

Une fois la sauvegarde effectuée, les fichiers journaux APT existants sont intégralement recensés et analysés. Les opérations d'installation, de Update et de désinstallation sont classées par ordre chronologique et recoupées avec d'autres éléments du système, tels que les horodatages du système de fichiers, afin d'obtenir une vue d'ensemble cohérente.

En quoi l'analyse du protocole APT présente-t-elle un intérêt sur le plan de la criminalistique ?

L'installation de certains outils, notamment ceux destinés à l'analyse du réseau ou à l'exfiltration de données, peut constituer un élément clé pour reconstituer le déroulement d'une attaque, et les protocoles APT fournissent souvent des informations temporelles précises à cet égard.

La suppression a posteriori d'un logiciel peut également présenter un intérêt sur le plan médico-légal, par exemple lorsqu'on a tenté d'effacer les traces d'un outil utilisé, ce qui peut encore être retracé en partie dans les journaux.

Foire aux questions

Pendant combien de temps les protocoles APT sont-ils conservés ?+
Cela dépend de la configuration du système et d'une éventuelle rotation des fichiers journaux ; les anciens fichiers journaux peuvent déjà avoir été compressés ou supprimés.
Est-il encore possible de détecter les paquets supprimés ?+
Souvent oui, à condition que les entrées de journal correspondantes soient encore présentes, même si le paquet lui-même n'est plus installé.
Ces protocoles s'appliquent-ils également aux Update automatiques ?+
Oui, les opérations de mise à jour, qu'elles soient lancées manuellement ou automatiquement, sont consignées dans un journal, à condition qu'elles soient effectuées via APT.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire des journaux du gestionnaire de paquets APT " ? LanCologne vous accompagne dans la sauvegarde conforme aux exigences judiciaires des preuves numériques ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant