IT-forensisch onderzoek · Linux

Forensische analyse van de Zsh-geschiedenis – Geavanceerde shell-logbestanden evalueren

In vergelijking met de klassieke Bash-geschiedenis biedt Zsh uitgebreide logboekopties, waaronder tijdstempels die standaard kunnen worden ingeschakeld en informatie over de uitvoeringsduur van commando's, mits de betreffende uitgebreide geschiedenis-functie wordt gebruikt.

Vrijblijvend informeren

Deze aanvullende metagegevens kunnen een nauwkeurigere tijdsindeling van uitgevoerde opdrachten mogelijk maken dan een klassiek, ongestructureerd geschiedenisbestand.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We halen Zsh-geschiedenisbestanden op, inclusief de aanwezige metagegevens over tijdstippen en duur, en reconstrueren daaruit een zo nauwkeurig mogelijke chronologische volgorde van de uitgevoerde commando's.

Typische toepassingsgebieden

•Nauwkeurige chronologische reconstructie van uitgevoerde opdrachten
•Onderzoek naar systemen met Zsh als standaard-shell
•Overzicht van de uitvoeringsduur van afzonderlijke commando’s
•Aanvulling op klassieke analyses van de shell-geschiedenis
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een analyse van de Zsh-geschiedenis

Na het opslaan worden de bestaande Zsh-geschiedenisbestanden geëxtraheerd en gecontroleerd op het gebruikte geschiedenisformaat. Als de uitgebreide geschiedenis-functie is ingeschakeld, worden de tijdstempels en de uitvoeringsduur per commando geanalyseerd en gekoppeld aan andere systeemgegevens.

Waarom is de analyse van de Zsh-geschiedenis forensisch relevant?

Op systemen waar Zsh de standaard-shell is, kan de uitgebreide geschiedenis-functie een aanzienlijk nauwkeurigere chronologische reconstructie mogelijk maken dan een klassieke Bash-geschiedenis zonder tijdstempels.

Net als bij elke shell-geschiedenis kan ook het Zsh-geschiedenisbestand aan de kant van de client worden gewijzigd, waardoor de betrouwbaarheid ervan wordt beoordeeld in het licht van andere, onafhankelijke bronnen.

Veelgestelde vragen

Wat is het verschil tussen de Zsh-geschiedenis en de Bash-geschiedenis?+
Zsh biedt standaard extra functies die kunnen worden ingeschakeld, zoals tijdstempels en uitvoeringsduur, die in de klassieke Bash-geschiedenis niet zomaar beschikbaar zijn.
Wordt Zsh veel gebruikt op Servern?+
Minder dan op desktopsystemen, maar wordt steeds vaker ook op Workstations en hier en daar op Servern als standaard-shell gebruikt.
Kan ook de Zsh-geschiedenis worden gemanipuleerd?+
Ja, net als de Bash-geschiedenis kan deze door een gebruiker met de juiste rechten worden gewijzigd of verwijderd.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „Forensische analyse van de Zsh-geschiedenis"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze vastleggen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen