IT-forensisch onderzoek · Linux

Forensische analyse van APT-pakketbeheerderlogboeken – Installatie- en wijzigingsgeschiedenis van op Debian gebaseerde systemen evalueren

De pakketbeheerder APT, die wordt gebruikt in Debian en daarvan afgeleide distributies zoals Ubuntu, registreert installaties, updates en verwijderingen in verschillende logbestanden, waardoor de softwaregeschiedenis van een systeem chronologisch kan worden gereconstrueerd.

Vrijblijvend informeren

Deze logbestanden kunnen aantonen wanneer bepaalde software is geïnstalleerd of verwijderd, wat met name relevant is bij de vraag of en wanneer er tools zijn geïnstalleerd die mogelijk voor een later incident zijn gebruikt.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We analyseren de beschikbare APT-logbestanden systematisch, reconstrueren de installatiegeschiedenis van relevante pakketten en plaatsen afzonderlijke gebeurtenissen in de juiste chronologische context binnen het onderzoek.

Typische toepassingsgebieden

•Bewijs van de installatie van bepaalde software op bepaalde tijdstippen
•Reconstructie van achteraf verwijderde gereedschappen
•Onderzoek naar geautomatiseerde pakketinstallaties in het kader van een aanval
•De softwaregeschiedenis afstemmen op andere gebeurtenissen op de tijdlijn
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een APT-protocolanalyse

Na het maken van de back-up worden de bestaande APT-logbestanden volledig vastgelegd en geanalyseerd. Installatie-, Update- en verwijderingsprocessen worden chronologisch geordend en vergeleken met andere systeemgegevens, zoals tijdstempels van het bestandssysteem, om een consistent totaalbeeld te verkrijgen.

Waarom is de analyse van het APT-protocol forensisch relevant?

Het installeren van bepaalde tools, bijvoorbeeld voor netwerkscans of het wegsluizen van gegevens, kan een belangrijke bouwsteen zijn bij het reconstrueren van het verloop van een aanval, en de APT-protocollen bieden hiervoor vaak nauwkeurige tijdsaanduidingen.

Ook het achteraf verwijderen van software kan forensisch relevant zijn, bijvoorbeeld wanneer is geprobeerd sporen van een gebruikt hulpmiddel uit te wissen, wat deels nog uit de logbestanden kan worden afgeleid.

Veelgestelde vragen

Hoe lang worden APT-protocollen bewaard?+
Dit hangt af van de systeemconfiguratie en een eventuele logrotatie; oudere logbestanden kunnen al gecomprimeerd of verwijderd zijn.
Kunnen verwijderde pakketten nog worden opgespoord?+
Vaak wel, mits de betreffende logboekvermeldingen nog aanwezig zijn, zelfs als het pakket zelf niet meer is geïnstalleerd.
Zijn de protocollen ook van toepassing op automatische Update's?+
Ja, zowel handmatig gestarte als geautomatiseerde updateprocessen worden geregistreerd, mits deze via APT plaatsvinden.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „forensische analyse van APT-pakketbeheerderlogbestanden"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze veiligstellen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen