IT-forensisch onderzoek · Linux

Forensische analyse van wtmp- en utmp-bestanden – sessiegegevens in detail evalueren

wtmp en utmp slaan gestructureerde gegevensrecords op over gebruikerssessies, waaronder terminal, proces-ID, tijdstempel en in sommige gevallen het bronadres. Terwijl utmp de huidige sessiestatus weergeeft, houdt wtmp een historisch overzicht bij.

Vrijblijvend informeren

De binaire structuur van deze bestanden vereist, voor een forensisch traceerbare analyse, een gestructureerde extractie van afzonderlijke gegevensrecords, in plaats van uitsluitend te vertrouwen op tekstuele samenvattingen.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We halen afzonderlijke sessiegegevens uit wtmp en utmp, reconstrueren daaruit de duur en de herkomst van de sessies en wijzen de resultaten toe aan de betreffende gebruikersaccounts en processen.

Typische toepassingsgebieden

•Reconstructie van afzonderlijke gebruikerssessies
•Bewijs van de duur van de vergadering bij veiligheidsgerelateerde incidenten
•Onderzoek naar parallelle of ongebruikelijke vergaderingen
•Afstemming met proces- en netwerkactiviteiten
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een wtmp-/utmp-analyse

Na het maken van een back-up worden de binaire gegevensrecords uit wtmp en utmp op gestructureerde wijze geëxtraheerd en chronologisch geordend. Het begin en einde van de sessie en de betrokken processen worden gedocumenteerd en gekoppeld aan andere systeemgegevens, zoals proceslijsten en netwerkverbindingen.

Waarom is deze analyse forensisch relevant?

Gedetailleerde informatie over de vergaderingen maakt een nauwkeurigere chronologische reconstructie mogelijk dan een loutere aanwezigheidslijst, met name bij het onderzoek naar gelijktijdige of langdurige vergaderingen.

Door de combinatie van wtmp- en utmp-gegevens met proces- en netwerkinformatie kan beter worden vastgesteld welke activiteiten daadwerkelijk tijdens een bepaalde sessie hebben plaatsgevonden.

Veelgestelde vragen

Wat geeft utmp weer, in tegenstelling tot wtmp?+
utmp geeft de huidige sessiestatus weer, terwijl wtmp een doorlopend historisch overzicht van alle sessies bevat.
Zijn deze bestanden op elk Linux-systeem aanwezig?+
In de regel wel, ze behoren tot de standaardmechanismen voor sessiebeheer op klassieke Linux-systemen.
Kunnen hieruit conclusies worden getrokken over toegang op afstand?+
Gedeeltelijk, voor zover er informatie over de herkomst, zoals het eindpunt of het IP-adres, is meegeregistreerd.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „forensische analyse van wtmp- en utmp-bestanden"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze veiligstellen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen