IT-Forensik · Linux

RPM/YUM/DNF-Protokolle forensisch analysieren – Paketverwaltung auf RPM-basierten Distributionen auswerten

Auf RPM-basierten Distributionen wie Red Hat Enterprise Linux, CentOS, Rocky Linux oder Fedora übernehmen RPM sowie die darauf aufbauenden Werkzeuge YUM beziehungsweise DNF die Paketverwaltung und protokollieren dabei Installations- und Änderungsvorgänge.

Pedido de informação sem compromisso

Ähnlich wie bei Debian-basierten Systemen lässt sich anhand dieser Protokolle die Softwarehistorie eines Systems zeitlich nachvollziehen, wobei sich das konkrete Protokollformat je nach eingesetztem Werkzeug unterscheidet.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Wir werten die vorhandenen RPM-, YUM- beziehungsweise DNF-Protokolle aus, rekonstruieren die Installationshistorie relevanter Pakete und ordnen diese in den zeitlichen Untersuchungskontext ein.

Áreas de aplicação típicas

•Nachweis der Installation bestimmter Software auf RPM-basierten Systemen
•Rekonstruktion nachträglich entfernter Pakete
•Untersuchung automatisierter Paketinstallationen im Rahmen eines Angriffs
•Abgleich der Softwarehistorie mit anderen Zeitlinienereignissen
•Incident Response auf Linux-Systemen
•Pareceres judiciais e extrajudiciais

So läuft eine RPM/YUM/DNF-Analyse ab

Nach der Sicherung werden die vorhandenen RPM-Datenbankinhalte sowie YUM- beziehungsweise DNF-Protokolldateien erfasst und ausgewertet. Installations-, Update- und Entfernungsvorgänge werden chronologisch aufbereitet und mit weiteren Systemartefakten abgeglichen.

Warum ist die RPM/YUM/DNF-Analyse forensisch relevant?

Auch auf RPM-basierten Systemen kann die Installation bestimmter Werkzeuge ein wichtiger Baustein bei der Rekonstruktion eines Angriffsverlaufs sein, wobei die präzise Zeitangabe aus den Protokollen hierfür entscheidend ist.

Da unternehmenskritische Server häufig auf RPM-basierten Distributionen betrieben werden, ist eine belastbare Rekonstruktion der Softwarehistorie oft von besonderer wirtschaftlicher Bedeutung.

Perguntas frequentes

Welche RPM-basierten Distributionen sind verbreitet?+
Unter anderem Red Hat Enterprise Linux, CentOS, Rocky Linux, AlmaLinux und Fedora, die sich in der grundlegenden Protokollstruktur ähneln.
Was ist der Unterschied zwischen YUM und DNF?+
DNF ist der modernere Nachfolger von YUM mit verbessertem Abhängigkeitsmanagement, beide protokollieren aber vergleichbare Vorgänge.
Können auch manuell installierte RPM-Pakete nachgewiesen werden?+
Ja, auch direkt installierte RPM-Pakete werden in der RPM-Datenbank erfasst und sind entsprechend auswertbar.

🔗 Temas relacionados

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „RPM/YUM/DNF-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Entre em contacto connosco agora