Informática Forense · Linux

Analisar forensicamente os registos «last» e «lastlog» – Avaliar de forma compreensível os históricos de início de sessão

Os ficheiros wtmp e lastlog registam o histórico de início de sessão de contas de utilizador individuais, incluindo a hora, o terminal e, em alguns casos, a origem do início de sessão. Constituem a base de dados para comandos como o last e o lastlog.

Pedido de informação sem compromisso

Para a análise forense, estes ficheiros não são analisados através dos comandos padrão do sistema em funcionamento, mas sim extraídos diretamente da cópia de segurança, de modo a excluir qualquer manipulação do sistema em funcionamento.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Extraímos os dados dos ficheiros wtmp e lastlog diretamente da imagem de segurança, reconstruímos o histórico completo de inícios de sessão e cruzamos esses dados com outros registos de autenticação.

Áreas de aplicação típicas

•Reconstrução dos horários e da origem dos registos
•Detecção de acessos não autorizados a contas de utilizador
•Análise de padrões invulgares de registo
•Comparação com os protocolos SSH e PAM
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

É assim que se realiza uma análise de carga/registo de carga

Após a cópia de segurança, os ficheiros binários relevantes são extraídos diretamente da imagem forense e analisados de forma estruturada. O histórico de inícios de sessão assim reconstruído é, em seguida, comparado com os protocolos SSH, PAM e outros protocolos de autenticação, de modo a obter uma visão global coerente.

Por que razão esta análise é relevante do ponto de vista forense?

Os registos de sessão são frequentemente o ponto de partida fundamental para a investigação de acessos não autorizados ou de padrões de utilização invulgares em contas de utilizadores individuais.

Uma vez que estes ficheiros são, por princípio, passíveis de manipulação, a sua credibilidade é sempre avaliada em comparação com outras fontes independentes, como registos SSH ou Auditd, em vez de serem analisados isoladamente.

Perguntas frequentes

Qual é a diferença entre o wtmp e o lastlog?+
O wtmp regista um histórico contínuo de todos os inícios e finais de sessão, enquanto o lastlog armazena, por seu lado, apenas o último início de sessão de cada utilizador.
Estes ficheiros podem ser manipulados?+
Sim, em princípio, é possível que haja manipulação por parte de utilizadores com direitos suficientes, razão pela qual se procede a uma comparação com outras fontes.
Será que o comando «last» é suficiente para uma análise forense?+
Não, para uma análise com validade forense, os ficheiros binários subjacentes são analisados diretamente a partir da imagem de segurança.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma análise forense profissional sobre „análise forense de registos de carga e de log de carga"? A LanCologne apoia-o na recolha de provas digitais com validade judicial, bem como na avaliação transparente de artefactos Linux relevantes.

Entre em contacto connosco agora