IT-forensisch onderzoek · Linux

Forensische analyse van dpkg-logbestanden – pakketstatus en installatiedetails evalueren

dpkg is het onderliggende pakketbeheertool op Debian-gebaseerde systemen, waarop ook APT is gebaseerd, en houdt eigen, gedetailleerdere logboeken bij van geïnstalleerde pakketten en hun status.

Vrijblijvend informeren

Terwijl APT-protocollen vooral de acties documenteren die de installatie in gang zetten, biedt dpkg bovendien een gedetailleerd statusoverzicht, waaruit de exacte installatiestatus van afzonderlijke pakketten kan worden afgeleid.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We analyseren de dpkg-statusdatabase en de bijbehorende logbestanden om de exacte installatiestatus van afzonderlijke pakketten vast te stellen en deze te koppelen aan andere bevindingen.

Typische toepassingsgebieden

•Bepaling van de exacte installatiestatus van afzonderlijke pakketten
•Aanvulling en verificatie van bevindingen met betrekking tot het APT-protocol
•Overzicht van geïnstalleerde pakketversies op een bepaald tijdstip
•Onderzoek naar handmatig geïnstalleerde pakketten die niet via repositories zijn gedownload
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een dpkg-analyse

Na het maken van de back-up wordt de dpkg-statusdatabase uitgelezen en vergeleken met de aanvullende logbestanden. Opvallende of handmatig geïnstalleerde pakketten die niet via de geconfigureerde standaardrepositories zijn gedownload, worden apart gecontroleerd.

Waarom is de dpkg-analyse forensisch relevant?

De gedetailleerde pakketstatus kan inzicht geven in de exacte versienummers, wat bijvoorbeeld relevant kan zijn bij de beoordeling van bekende kwetsbaarheden op een bepaald moment.

Handmatig geïnstalleerde pakketten die niet afkomstig zijn uit standaardrepositories verdienen bijzondere aandacht, omdat ze een mogelijke manier kunnen zijn om schadelijke software binnen te brengen.

Veelgestelde vragen

Wat is het verschil tussen dpkg en APT?+
dpkg regelt de daadwerkelijke installatie van pakketten en de statusgegevens, terwijl APT als overkoepelend hulpprogramma afhankelijkheden oplost en repositories beheert.
Kunnen versies op een bepaald tijdstip worden gereconstrueerd?+
Met de juiste logbestanden en tijdstempels is dit in veel gevallen mogelijk.
Worden ook handmatig geïnstalleerde .deb-pakketten geregistreerd?+
Ja, ook handmatig geïnstalleerde pakketten worden in de dpkg-statusdatabase geregistreerd.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „forensische analyse van dpkg-logbestanden"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze veiligstellen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen