IT-Forensik · Linux

last- und lastlog-Protokolle forensisch analysieren – Anmeldehistorien nachvollziehbar auswerten

Die Dateien wtmp und lastlog protokollieren Anmeldehistorien einzelner Benutzerkonten, einschließlich Zeitpunkt, Terminal und teilweise Herkunft der Anmeldung. Sie bilden die Datengrundlage für Befehle wie last und lastlog.

Upitajte bez obaveze

Für die forensische Auswertung werden diese Dateien nicht über die Standardbefehle des laufenden Systems ausgewertet, sondern direkt aus der gesicherten Kopie extrahiert, um Manipulationen am laufenden System auszuschließen.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Wir extrahieren wtmp- und lastlog-Daten direkt aus dem gesicherten Abbild, rekonstruieren die vollständige Anmeldehistorie und gleichen sie mit weiteren Authentifizierungsprotokollen ab.

Tipična područja primjene

•Rekonstruktion von Anmeldezeiten und -herkunft
•Nachweis unautorisierter Zugriffe auf Benutzerkonten
•Untersuchung ungewöhnlicher Anmeldemuster
•Abgleich mit SSH- und PAM-Protokollen
•Incident Response auf Linux-Systemen
•Sudski i nerasudski vještački nalazi

So läuft eine last-/lastlog-Analyse ab

Nach der Sicherung werden die relevanten Binärdateien direkt aus dem forensischen Abbild extrahiert und strukturiert ausgewertet. Die daraus rekonstruierte Anmeldehistorie wird anschließend mit SSH-, PAM- und weiteren Authentifizierungsprotokollen abgeglichen, um ein konsistentes Gesamtbild zu erhalten.

Warum ist diese Analyse forensisch relevant?

Anmeldehistorien sind häufig zentraler Ausgangspunkt für die Aufklärung unautorisierter Zugriffe oder ungewöhnlicher Nutzungsmuster einzelner Benutzerkonten.

Da diese Dateien grundsätzlich manipulierbar sind, wird ihre Aussagekraft stets im Abgleich mit unabhängigen weiteren Quellen wie SSH- oder Auditd-Protokollen bewertet, statt isoliert betrachtet zu werden.

Često postavljana pitanja

Was ist der Unterschied zwischen wtmp und lastlog?+
wtmp protokolliert eine fortlaufende Historie aller An- und Abmeldungen, lastlog speichert dagegen für jeden Benutzer nur die jeweils letzte Anmeldung.
Können diese Dateien manipuliert werden?+
Ja, grundsätzlich ist eine Manipulation durch Benutzer mit ausreichenden Rechten möglich, weshalb ein Abgleich mit weiteren Quellen erfolgt.
Reicht der last-Befehl für eine forensische Auswertung aus?+
Nein, für eine forensisch belastbare Auswertung werden die zugrunde liegenden Binärdateien direkt aus dem gesicherten Abbild ausgewertet.

🔗 Povezane teme

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „last- und lastlog-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontaktirajte nas odmah