IT-forenzika · Linux

Forenzična analiza konfiguracije rsyslog – pravilna ocena obsega beleženja

rsyslog je ena najbolj razširjenih implementacij standarda Syslog v sistemu Linux in ponuja obsežne možnosti konfiguracije za filtriranje, posredovanje in shranjevanje podatkov iz dnevnikov.

Nezavezujoča poizvedba

Konkretna konfiguracija rsyslog določa, kateri dogodki se sploh beležijo, kam se posredujejo in kako dolgo se hranijo. To konfiguracijo je treba preučiti pred vsebinsko analizo dnevnikov, da se lahko pravilno oceni njihova informativna vrednost.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Analiziramo aktivno konfiguracijo rsyslog, da bi ugotovili dejanski obseg beleženja, morebitna posredovanja v centralni sistem za beleženje Log-Server ter nastavljeno obdobje hrambe.

Tipična področja uporabe

•Ocena dejanskega obsega beleženja
•Sledenje preusmeritvam dnevnikov v centralne sisteme
•Obveščanje o naknadno spremenjenih nastavitvah beleženja
•Priprava ustrezne analize Syslog
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka razvrščanje konfiguracije rsyslog

Po varnostnem kopiranju se sistematično pregleda obstoječa konfiguracija rsyslog, vključno z aktivnimi filtri, ciljnimi sistemi in nastavitvami rotacije. Nato se preveri, ali konfiguracija vsebuje znake naknadnih sprememb, preden se izvede dejanska analiza dnevnikov.

Zakaj je ta razvrstitev forenzično pomembna?

Brez poznavanja aktivne konfiguracije ni mogoče zanesljivo oceniti, ali je odsotnost določenih vnosov v protokolu posledica dejanskega neizvajanja ali namerne oziroma neustrezne konfiguracije.

Če obstaja sum, da je bila konfiguracija beleženja naknadno spremenjena, na primer z namenom prikrivanja dejavnosti, se to posebej preišče in dokumentira.

Pogosta vprašanja

Ali je mogoče konfiguracijo rsyslog-a spremeniti tako, da se skrijejo sledi?+
Da, s ciljno prilagoditvijo pravil filtriranja se lahko zgodi, da se določeni dogodki ne beležijo več. To se upošteva pri razvrščanju.
Ali se dnevniki pogosto posredujejo na centralni sistem Server?+
V poslovnih okoljih je razširjeno centralno zbiranje dnevnikov, kar lahko omogoči dodatne, neodvisne vire za analizo.
Ali analiza konfiguracije nadomešča dejansko analizo dnevnikov?+
Ne, to je nujen pripravljalni korak, ki pomaga pravilno umestiti poznejšo vsebinsko analizo.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo v zvezi z „forenzično analizo konfiguracije rsyslog"? LanCologne vam pomaga pri sodno veljavnem pridobivanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj