Informatique légale · Linux

Analyse forensic des journaux d'audit SELinux – Évaluation des événements liés au contrôle d'accès obligatoire (MAC)

SELinux complète les droits d'accès Unix classiques par un système de contrôle d'accès obligatoire (Mandatory Access Control) basé sur des règles et consigne les violations des politiques sous forme de « refus AVC », généralement via le sous-système d'audit.

Demande sans engagement

Ces entrées de journal peuvent indiquer aussi bien des tentatives d'accès non autorisées réelles que des fonctionnalités normales de l'application qui ne sont pas encore couvertes par la politique. Il est donc nécessaire de les analyser avec soin.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les entrées d'audit SELinux existantes, attribuons les refus AVC aux processus et ressources concernés, et déterminons s'il s'agit d'infractions liées à la sécurité ou de modifications de configuration courantes.

Domaines d'application typiques

•Analyse des tentatives d'accès bloquées à des ressources protégées
•Détection des violations des politiques dans des environnements sécurisés
•Évaluation des modifications apportées a posteriori à la configuration de SELinux
•Assistance dans le cadre d'enquêtes de conformité
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse d'audit SELinux

Une fois la sauvegarde effectuée, les refus AVC existants et les autres événements d'audit SELinux sont extraits et attribués aux processus, fichiers et contextes de sécurité concernés. Les résultats sont évalués à la lumière de la configuration actuelle des politiques afin de distinguer les incidents de sécurité réels des problèmes de configuration courants.

Pourquoi l'analyse SELinux présente-t-elle un intérêt en matière de criminalistique ?

Dans les environnements sécurisés où SELinux est activé, les journaux d'audit peuvent fournir des indications précieuses sur les tentatives d'accès à des ressources protégées au-delà des autorisations normales.

Étant donné que tous les cas de déni d'AVC ne constituent pas nécessairement une véritable tentative d'attaque, il est nécessaire de procéder à une analyse experte dans le contexte d'application concerné afin d'éviter toute interprétation erronée.

Foire aux questions

Qu'est-ce qu'un « AVC-Denial » ?+
Une tentative d'accès d'un processus à une ressource, enregistrée par SELinux et refusée par la politique active.
Un refus d'AVC signifie-t-il automatiquement une attaque ?+
Non, il s'agit souvent de fonctionnalités standard de l'application qui ne sont pas encore couvertes par la politique actuelle.
SELinux est-il activé sur toutes les distributions Linux ?+
Non, sa diffusion et sa configuration par défaut varient selon la distribution ; il est notamment souvent activé sur les systèmes basés sur Red Hat.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire des journaux d'audit SELinux " ? LanCologne vous aide à sécuriser les preuves numériques de manière à ce qu'elles soient recevables devant les tribunaux, ainsi qu'à analyser de manière traçable les artefacts Linux pertinents.

Nous contacter dès maintenant