IT-Forensik · Linux

last- und lastlog-Protokolle forensisch analysieren – Anmeldehistorien nachvollziehbar auswerten

Die Dateien wtmp und lastlog protokollieren Anmeldehistorien einzelner Benutzerkonten, einschließlich Zeitpunkt, Terminal und teilweise Herkunft der Anmeldung. Sie bilden die Datengrundlage für Befehle wie last und lastlog.

Richiesta non vincolante

Für die forensische Auswertung werden diese Dateien nicht über die Standardbefehle des laufenden Systems ausgewertet, sondern direkt aus der gesicherten Kopie extrahiert, um Manipulationen am laufenden System auszuschließen.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Wir extrahieren wtmp- und lastlog-Daten direkt aus dem gesicherten Abbild, rekonstruieren die vollständige Anmeldehistorie und gleichen sie mit weiteren Authentifizierungsprotokollen ab.

Campi di applicazione tipici

•Rekonstruktion von Anmeldezeiten und -herkunft
•Nachweis unautorisierter Zugriffe auf Benutzerkonten
•Untersuchung ungewöhnlicher Anmeldemuster
•Abgleich mit SSH- und PAM-Protokollen
•Incident Response auf Linux-Systemen
•Perizie giudiziarie ed extragiudiziarie

So läuft eine last-/lastlog-Analyse ab

Nach der Sicherung werden die relevanten Binärdateien direkt aus dem forensischen Abbild extrahiert und strukturiert ausgewertet. Die daraus rekonstruierte Anmeldehistorie wird anschließend mit SSH-, PAM- und weiteren Authentifizierungsprotokollen abgeglichen, um ein konsistentes Gesamtbild zu erhalten.

Warum ist diese Analyse forensisch relevant?

Anmeldehistorien sind häufig zentraler Ausgangspunkt für die Aufklärung unautorisierter Zugriffe oder ungewöhnlicher Nutzungsmuster einzelner Benutzerkonten.

Da diese Dateien grundsätzlich manipulierbar sind, wird ihre Aussagekraft stets im Abgleich mit unabhängigen weiteren Quellen wie SSH- oder Auditd-Protokollen bewertet, statt isoliert betrachtet zu werden.

Domande frequenti

Was ist der Unterschied zwischen wtmp und lastlog?+
wtmp protokolliert eine fortlaufende Historie aller An- und Abmeldungen, lastlog speichert dagegen für jeden Benutzer nur die jeweils letzte Anmeldung.
Können diese Dateien manipuliert werden?+
Ja, grundsätzlich ist eine Manipulation durch Benutzer mit ausreichenden Rechten möglich, weshalb ein Abgleich mit weiteren Quellen erfolgt.
Reicht der last-Befehl für eine forensische Auswertung aus?+
Nein, für eine forensisch belastbare Auswertung werden die zugrunde liegenden Binärdateien direkt aus dem gesicherten Abbild ausgewertet.

🔗 Argomenti correlati

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „last- und lastlog-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Contattaci subito