IT forenzika · Linux

Forenzička analiza zapisa o opterećenju i dnevnika opterećenja – Procjena povijesti prijava na tragiv način

Datoteke wtmp i lastlog bilježe povijest prijava pojedinačnih korisničkih računa, uključujući vrijeme, terminal i, u nekim slučajevima, izvor prijave. One čine bazu podataka za naredbe poput last i lastlog.

Upitajte bez obaveze

Za forenzičku analizu ove se datoteke ne analiziraju pomoću standardnih naredbi aktivnog sustava, već se izravno izdvajaju iz sigurnosne kopije kako bi se isključila bilo kakva manipulacija aktivnim sustavom.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Izvađamo wtmp i lastlog podatke izravno iz sigurnosne kopije slike, rekonstruiramo cjelovitu povijest prijava i unakrsno provjeravamo s drugim zapisima o autentifikaciji.

Tipična područja primjene

•Rekonstrukcija vremena prijave i podrijetla
•Dokazi o neovlaštenom pristupu korisničkim računima
•Istraživanje neobičnih obrazaca primjene
•Usklađenost sa SSH i PAM protokolima
•Odgovor na incidente na Linux sustavima
•Sudski i nerasudski vještački nalazi

Kako funkcionira analiza opterećenja i dnevnika opterećenja

Nakon dovršetka sigurnosne kopije, relevantne binarne datoteke izravno se izdvajaju iz forenzičke slike i analiziraju na strukturiran način. Povijest prijava rekonstruirana na taj način zatim se unakrsno uspoređuje s SSH-om, PAM-om i drugim protokolima za autentifikaciju kako bi se dobila dosljedna cjelokupna slika.

Zašto je ova analiza relevantna iz forenzičke perspektive?

Povijesti prijava često su ključna polazna točka za ispitivanje neovlaštenog pristupa ili neuobičajenih obrazaca korištenja na pojedinačnim korisničkim računima.

Budući da se s tim datotekama u načelu može manipulirati, njihovu se pouzdanost uvijek procjenjuje unakrsnim provjeravanjem s drugim neovisnim izvorima, poput SSH ili auditd dnevnika, a ne razmatraju se izolirano.

Često postavljana pitanja

Koja je razlika između wtmp i lastlog?+
wtmp bilježi kontinuiranu povijest svih prijava i odjava, dok lastlog pohranjuje samo najnoviju prijavu za svakog korisnika.
Mogu li se ove datoteke mijenjati?+
Da, u načelu je moguće da korisnici s dovoljnim ovlastima mijenjaju podatke, zbog čega se provodi provjera s drugim izvorima.
Je li naredba 'last' dovoljna za forenzičku analizu?+
Ne, kako bi se osigurali forenzički valjani rezultati, temeljne binarne datoteke analiziraju se izravno iz sigurnosne slike.

🔗 Povezane teme

LanCologne – Forenzika Linuxa u Kölnu

Trebate li profesionalnu forenzičku istragu „forenzičke analize datoteka opterećenja i dnevnika opterećenja"? LanCologne vam može pomoći u sudski prihvatljivom očuvanju digitalnih dokaza i u praćenoj analizi relevantnih Linux artefakata.

Kontaktirajte nas odmah