IT-forensisch onderzoek · Linux

Forensische analyse van RPM/YUM/DNF-logbestanden – Pakketbeheer op RPM-gebaseerde distributies evalueren

Op RPM-gebaseerde distributies zoals Red Hat Enterprise Linux, CentOS, Rocky Linux of Fedora zorgen RPM en de daarop gebaseerde tools YUM en DNF voor het pakketbeheer en registreren daarbij installatie- en wijzigingsprocessen.

Vrijblijvend informeren

Net als bij op Debian gebaseerde systemen kan aan de hand van deze logbestanden de softwaregeschiedenis van een systeem in de tijd worden nagegaan, waarbij de concrete indeling van de logbestanden verschilt naargelang de gebruikte tool.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We analyseren de beschikbare RPM-, YUM- en DNF-logbestanden, reconstrueren de installatiegeschiedenis van relevante pakketten en plaatsen deze in de context van het onderzoek in de tijd.

Typische toepassingsgebieden

•Controle op de installatie van bepaalde software op RPM-gebaseerde systemen
•Reconstructie van achteraf verwijderde pakketten
•Onderzoek naar geautomatiseerde pakketinstallaties in het kader van een aanval
•De softwaregeschiedenis afstemmen op andere gebeurtenissen op de tijdlijn
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een RPM/YUM/DNF-analyse

Na het maken van de back-up worden de bestaande gegevens uit de RPM-database en de YUM- respectievelijk DNF-logbestanden vastgelegd en geanalyseerd. Installatie-, Update- en verwijderingsprocessen worden chronologisch weergegeven en vergeleken met andere systeemgegevens.

Waarom is de RPM/YUM/DNF-analyse forensisch relevant?

Ook op RPM-gebaseerde systemen kan de installatie van bepaalde tools een belangrijke bouwsteen zijn bij het reconstrueren van het verloop van een aanval, waarbij de nauwkeurige tijdsaanduiding uit de logbestanden hiervoor van cruciaal belang is.

Aangezien bedrijfskritische Server vaak op RPM-gebaseerde distributies draaien, is een betrouwbare reconstructie van de softwaregeschiedenis vaak van bijzonder economisch belang.

Veelgestelde vragen

Welke op RPM gebaseerde distributies worden veel gebruikt?+
Onder andere Red Hat Enterprise Linux, CentOS, Rocky Linux, AlmaLinux en Fedora, die qua basisstructuur van de protocollen op elkaar lijken.
Wat is het verschil tussen YUM en DNF?+
DNF is de modernere opvolger van YUM met verbeterd afhankelijkheidsbeheer, maar beide registreren vergelijkbare processen.
Kunnen ook handmatig geïnstalleerde RPM-pakketten worden gedetecteerd?+
Ja, ook rechtstreeks geïnstalleerde RPM-pakketten worden in de RPM-database geregistreerd en kunnen op de juiste manier worden geanalyseerd.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „Forensische analyse van RPM/YUM/DNF-logbestanden"? LanCologne ondersteunt u bij het op een rechtsgeldige manier vastleggen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen