Informatique légale · Linux

Analyse forensic des journaux auditd – Évaluation de la surveillance du système basée sur des règles

Le Linux Audit Framework, avec son démon auditd, enregistre, selon des règles prédéfinies, les appels système liés à la sécurité, les accès aux fichiers et les activités des utilisateurs au niveau du noyau. Il est souvent utilisé dans des environnements soumis à des exigences de conformité élevées.

Demande sans engagement

La pertinence des journaux auditd dépend en grande partie de la base de règles configurée. En l'absence de règles appropriées, il se peut que certains événements pertinents ne soient tout simplement pas consignés.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons systématiquement les journaux auditd existants, vérifions la configuration des règles sous-jacentes et attribuons les événements consignés aux utilisateurs, processus et fichiers concernés.

Domaines d'application typiques

•Analyse des appels système ayant une incidence sur la sécurité
•Détection des tentatives d'accès non autorisées
•Évaluation de l'efficacité des règles d'audit existantes
•Assistance dans le cadre d'enquêtes de conformité
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse auditd

Une fois la sauvegarde effectuée, la configuration active des règles d'audit est d'abord analysée afin de déterminer l'étendue réelle de la journalisation. Les événements d'audit pertinents sont ensuite extraits, attribués aux utilisateurs et processus concernés, puis mis en corrélation avec d'autres artefacts du système.

Pourquoi l'analyse auditd présente-t-elle un intérêt sur le plan médico-légal ?

auditd permet de consigner au niveau du noyau des événements liés à la sécurité qui vont au-delà des journaux d'application classiques, tels que les tentatives d'accès ciblées à des fichiers protégés.

Étant donné que la journalisation dépend de la configuration de la règle concernée, l'absence d'un événement ne peut pas être automatiquement considérée comme la preuve qu'il ne s'est pas produit. Cette restriction est clairement indiquée lors de chaque analyse.

Foire aux questions

Que consigne auditd dans ses journaux ?+
Contrôle, entre autres, les appels système, les accès aux fichiers ainsi que les activités des utilisateurs et des processus au niveau du noyau, selon des règles prédéfinies.
Le service auditd est-il activé par défaut ?+
Cela dépend de la distribution et de la configuration du système. Dans de nombreux environnements d'entreprise, cette fonctionnalité est activée et configurée de manière ciblée.
L'absence d'une entrée d'audit peut-elle signifier qu'il ne s'est rien passé ?+
Non, cela peut également être dû à une configuration de règle manquante ou à une journalisation désactivée.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle portant sur „ l'analyse judiciaire des journaux auditd " ? LanCologne vous aide à sécuriser les preuves numériques de manière à ce qu'elles soient recevables devant les tribunaux, ainsi qu'à analyser de manière traçable les artefacts Linux pertinents.

Nous contacter dès maintenant