IT-forensisch onderzoek · Linux

Logboekmanipulatie en anti-forensische maatregelen herkennen – het verdoezelen van sporen op Linux-systemen aan het licht brengen

Ervaren aanvallers proberen vaak doelbewust hun sporen uit te wissen door logbestanden te verwijderen of te wijzigen en door andere anti-forensische technieken te gebruiken, om een later onderzoek te bemoeilijken of te dwarsbomen.

Vrijblijvend informeren

Dergelijke pogingen tot manipulatie laten echter vaak hun eigen, indirecte sporen achter, zoals hiaten in anderszins volledige reeksen logbestanden of discrepanties tussen verschillende, onafhankelijke gegevensbronnen.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We controleren systemen systematisch op aanwijzingen voor logboekmanipulatie en andere anti-forensische technieken, vergelijken beschikbare gegevensbronnen onderling en documenteren gedetecteerde pogingen tot manipulatie op een traceerbare manier.

Typische toepassingsgebieden

•Het opsporen van gewiste of gewijzigde logbestanden
•Identificatie van andere anti-forensische technieken, zoals het manipuleren van tijdstempels
•Kruisvergelijking van onafhankelijke gegevensbronnen om hiaten op te sporen
•Beoordeling van de betrouwbaarheid van bestaande logboekgegevens
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een anti-forensisch onderzoek

Na het maken van de back-up worden de beschikbare logbestanden gecontroleerd op volledigheid en op aanwijzingen voor achteraf aangebrachte wijzigingen. Daarnaast worden onafhankelijke gegevensbronnen, zoals centrale log-Server of metagegevens van het bestandssysteem, onderling vergeleken om verborgen manipulaties aan het licht te brengen.

Waarom is het anti-forensisch onderzoek forensisch relevant?

Het herkennen van gerichte pogingen om sporen uit te wissen is vaak op zich al een sterke aanwijzing voor een opzettelijke, gerichte aanval en kan aanvullende conclusies opleveren over de werkwijze en de ervaring van een aanvaller.

Aangezien gemanipuleerde logbestanden als enige bewijsbasis niet langer onvoorwaardelijk betrouwbaar zijn, is een kruiscontrole met onafhankelijke gegevensbronnen onontbeerlijk voor een solide forensische conclusie.

Veelgestelde vragen

Welke anti-forensische technieken komen vaak voor onder Linux?+
Onder andere het doelbewust verwijderen of inkorten van logbestanden, het manipuleren van tijdstempels en het uitschakelen van logboekmechanismen.
Hoe worden verwijderde logboekvermeldingen gedetecteerd?+
Door vergelijking met onafhankelijke, redundante gegevensbronnen, zoals centrale logbestanden Servern, en door controle op inconsistenties in doorlopende logreeksen.
Kan het volledig wissen van logbestanden het forensisch onderzoek belemmeren?+
Dit bemoeilijkt het aanzienlijk, maar maakt het door de beschikbaarheid van andere systeemartefacten doorgaans niet volledig onmogelijk.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „het herkennen van logboekmanipulatie en anti-forensische maatregelen"? LanCologne ondersteunt u bij het op een rechtsgeldige manier vastleggen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen