IT-forensisch onderzoek · Linux

Forensische analyse van syslog-artefacten – klassieke tekstlogboeken evalueren

Syslog is de klassieke, op tekst gebaseerde logboekstandaard onder Linux en Unix en wordt op veel systemen nog steeds naast of in plaats van journald gebruikt. Berichten worden daarbij ingedeeld op basis van prioriteit en de faciliteit waar ze vandaan komen.

Vrijblijvend informeren

Syslog-bestanden worden doorgaans onderworpen aan logrotatie, waarbij oudere vermeldingen worden gecomprimeerd, gearchiveerd of verwijderd. Voor een volledige forensische analyse moet daarom ook rekening worden gehouden met geroteerde en gearchiveerde logbestanden.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We bewaren en analyseren alle beschikbare syslog-bestanden, inclusief geroteerde en gecomprimeerde archieven, en reconstrueren daaruit een zo volledig mogelijk chronologisch overzicht van de gebeurtenissen.

Typische toepassingsgebieden

•Reconstructie van historische systeemgebeurtenissen
•Onderzoek naar diensten zonder ondersteuning voor journald
•Analyse van gearchiveerde en geroteerde logbestanden
•Correlatie met andere logboekbronnen
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een Syslog-analyse

Na het maken van de back-up worden alle actuele, geroteerde en gearchiveerde syslog-bestanden geïdentificeerd en chronologisch samengevoegd. Opvallende hiaten in de rotatie worden apart gedocumenteerd. De resultaten worden vergeleken met andere logbronnen, zoals journald of auditd.

Waarom is de analyse van syslog-gegevens forensisch relevant?

Op veel systemen bevat Syslog loggegevens die niet of niet volledig in journald aanwezig zijn, bijvoorbeeld van oudere diensten of speciaal geconfigureerde toepassingen.

Aangezien logrotatie oudere vermeldingen systematisch verwijdert of archiveert, is een tijdige back-up van cruciaal belang voor een zo volledig mogelijke reconstructie.

Veelgestelde vragen

Wordt Syslog op moderne systemen nog steeds gebruikt?+
Ja, vaak parallel aan `journald`, met name voor bepaalde diensten of bij een overeenkomstige systeemconfiguratie.
Wat gebeurt er bij logrotatie?+
Oudere logbestanden worden gecomprimeerd, gearchiveerd en na een ingestelde bewaartermijn verwijderd.
Kunnen geroteerde logbestanden nog worden geanalyseerd?+
Ja, voor zover ze nog op het systeem of in back-ups aanwezig zijn, kunnen ze in het forensisch onderzoek worden meegenomen.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „forensische analyse van syslog-artefacten"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze veiligstellen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen