Informatique légale · Linux

Analyse forensic des journaux « last » et « lastlog » – Évaluation transparente des historiques de connexion

Les fichiers wtmp et lastlog enregistrent l'historique des connexions des différents comptes utilisateurs, notamment l'heure, le terminal et, dans certains cas, l'origine de la connexion. Ils constituent la base de données pour des commandes telles que last et lastlog.

Demande sans engagement

Dans le cadre d'une analyse médico-légale, ces fichiers ne sont pas analysés à l'aide des commandes standard du système en cours d'exécution, mais sont extraits directement de la copie de sauvegarde afin d'exclure toute manipulation du système en cours d'exécution.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous extrayons les données des fichiers wtmp et lastlog directement à partir de l'image sauvegardée, reconstituons l'historique complet des connexions et le recoupons avec d'autres journaux d'authentification.

Domaines d'application typiques

•Reconstitution des heures et de l'origine des connexions
•Détection d'accès non autorisés aux comptes utilisateurs
•Analyse des tendances inhabituelles en matière de dépôts de marques
•Compatibilité avec les protocoles SSH et PAM
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse de charge/historique de charge

Une fois la sauvegarde effectuée, les fichiers binaires pertinents sont extraits directement de l'image forensic et analysés de manière structurée. L'historique des connexions ainsi reconstitué est ensuite recoupé avec les protocoles SSH, PAM et d'autres protocoles d'authentification afin d'obtenir une vue d'ensemble cohérente.

En quoi cette analyse présente-t-elle un intérêt sur le plan médico-légal ?

Les historiques de connexion constituent souvent un point de départ essentiel pour élucider les accès non autorisés ou les schémas d'utilisation inhabituels de certains comptes d'utilisateurs.

Ces fichiers pouvant en principe être falsifiés, leur pertinence est toujours évaluée en les recoupant avec d'autres sources indépendantes, telles que les journaux SSH ou Auditd, plutôt que de les considérer isolément.

Foire aux questions

Quelle est la différence entre « wtmp » et « lastlog » ?+
wtmp enregistre un historique continu de toutes les connexions et déconnexions, tandis que lastlog n'enregistre, pour chaque utilisateur, que la dernière connexion.
Ces fichiers peuvent-ils être modifiés ?+
Oui, en principe, une manipulation par des utilisateurs disposant de droits suffisants est possible, c'est pourquoi une vérification auprès d'autres sources est effectuée.
La commande « last » suffit-elle pour une analyse médico-légale ?+
Non, pour obtenir une analyse fiable sur le plan médico-légal, les fichiers binaires sous-jacents sont analysés directement à partir de l'image sauvegardée.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle portant sur „ l'analyse judiciaire des journaux last et lastlog " ? LanCologne vous accompagne dans la sauvegarde des preuves numériques conformément aux exigences judiciaires, ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant