Informática Forense · Linux

Analisar forensicamente os ficheiros wtmp e utmp – Avaliar detalhadamente os dados das sessões

Os ficheiros wtmp e utmp armazenam registos estruturados relativos às sessões dos utilizadores, incluindo o terminal, o ID do processo, o carimbo de data/hora e, em alguns casos, o endereço de origem. Enquanto o utmp reflete o estado atual da sessão, o wtmp mantém um registo histórico.

Pedido de informação sem compromisso

A estrutura binária destes ficheiros exige, para uma análise forense compreensível, uma extração estruturada de registos de dados individuais, em vez de se basear exclusivamente em resumos textuais.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Extraímos registos individuais de sessões dos ficheiros wtmp e utmp, a partir dos quais reconstruímos a duração e a origem das sessões e atribuímos os resultados às respetivas contas de utilizador e processos.

Áreas de aplicação típicas

•Reconstrução de sessões individuais de utilizador
•Comprovativo da duração da reunião em caso de incidentes relevantes para a segurança
•Análise de sessões paralelas ou invulgares
•Comparação com as atividades do processo e da rede
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

É assim que decorre uma análise do wtmp/utmp

Após a cópia de segurança, os registos binários do wtmp e do utmp são extraídos de forma estruturada e organizados cronologicamente. O início e o fim da sessão, bem como os processos envolvidos, são documentados e correlacionados com outros artefactos do sistema, tais como listas de processos e ligações de rede.

Por que razão esta análise é relevante do ponto de vista forense?

As informações detalhadas sobre as sessões permitem uma reconstrução temporal mais precisa do que uma simples lista de presenças, especialmente na análise de sessões paralelas ou de longa duração.

A combinação de dados wtmp e utmp com informações sobre processos e rede permite uma identificação mais fiável das atividades que podem ter ocorrido efetivamente durante uma determinada sessão.

Perguntas frequentes

O que é que o utmp mostra, em comparação com o wtmp?+
O utmp reflete o estado atual da sessão, enquanto o wtmp contém um registo histórico contínuo de todas as sessões.
Esses ficheiros existem em todos os sistemas Linux?+
Em geral, sim, fazem parte dos mecanismos padrão de gestão de sessões em sistemas Linux clássicos.
Será possível tirar conclusões sobre acessos remotos a partir disso?+
Em parte, desde que tenham sido registadas informações de origem, como o terminal ou o endereço IP.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma investigação forense profissional sobre a „análise forense de ficheiros wtmp e utmp"? A LanCologne apoia-o na recolha de provas digitais com validade judicial, bem como na avaliação transparente de artefactos Linux relevantes.

Entre em contacto connosco agora