Informatica forense · Linux
Analisi forense di un file btmp – Valutazione dei tentativi di accesso falliti
Il file btmp registra i tentativi di accesso falliti e fornisce così importanti indicazioni su possibili attacchi di forza bruta o tentativi di accesso non autorizzati a singoli account utente.
Poiché btmp registra esclusivamente i tentativi falliti, è necessario incrociare i dati con quelli relativi agli accessi riusciti provenienti da wtmp per ottenere un quadro completo del possibile svolgimento di un attacco.
Perché LanCologne?
Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.
L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.
I nostri servizi
Estraiamo da btmp i tentativi di accesso non riusciti, li ordiniamo in base alla data e all’account utente interessato e li confrontiamo con gli accessi riusciti e con altri log di sicurezza.
Campi di applicazione tipici
Ecco come si svolge un'analisi btmp
Dopo il salvataggio, i tentativi di accesso falliti registrati nel file btmp vengono estratti e ordinati cronologicamente. I risultati vengono confrontati con gli accessi riusciti presenti nel file wtmp e nei log SSH e PAM, al fine di ricostruire nel modo più completo possibile l’effettivo svolgimento dell’attacco.
Perché l'analisi btmp è rilevante dal punto di vista forense?
Una serie di tentativi di accesso falliti può costituire un forte indizio di un attacco mirato, in particolare se a seguito di tali tentativi si è verificato un accesso riuscito.
Tuttavia, considerare il btmp isolatamente, senza contesto, può portare a interpretazioni errate, ad esempio in caso di inserimenti accidentali da parte di utenti legittimi. Per questo motivo si procede sempre a una valutazione complessiva nel contesto di altre fonti.
Domande frequenti
LanCologne – Analisi forense di Linux a Colonia
Avete bisogno di un’analisi forense professionale su come „analizzare forensicamente un file btmp"? LanCologne vi supporta nel backup di prove digitali a prova di tribunale e nella valutazione tracciabile degli artefatti Linux rilevanti.
In linea con questo argomento
- Analisi forense dei log di audit di SELinux – Valutazione degli eventi relativi al controllo di accesso obbligatorio
- Analisi forense dei log di AppArmor – Valutazione dei controlli di accesso basati su profili
- Analisi forense dei log di systemd-journald – La fonte centrale dei log dei moderni sistemi Linux
- Correlazione forense dei messaggi di journalctl – Collegamento degli eventi di sistema in base alla data e al contenuto