IT-Forensik · Linux

last- und lastlog-Protokolle forensisch analysieren – Anmeldehistorien nachvollziehbar auswerten

Die Dateien wtmp und lastlog protokollieren Anmeldehistorien einzelner Benutzerkonten, einschließlich Zeitpunkt, Terminal und teilweise Herkunft der Anmeldung. Sie bilden die Datengrundlage für Befehle wie last und lastlog.

Nezavezujoča poizvedba

Für die forensische Auswertung werden diese Dateien nicht über die Standardbefehle des laufenden Systems ausgewertet, sondern direkt aus der gesicherten Kopie extrahiert, um Manipulationen am laufenden System auszuschließen.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Wir extrahieren wtmp- und lastlog-Daten direkt aus dem gesicherten Abbild, rekonstruieren die vollständige Anmeldehistorie und gleichen sie mit weiteren Authentifizierungsprotokollen ab.

Tipična področja uporabe

•Rekonstruktion von Anmeldezeiten und -herkunft
•Nachweis unautorisierter Zugriffe auf Benutzerkonten
•Untersuchung ungewöhnlicher Anmeldemuster
•Abgleich mit SSH- und PAM-Protokollen
•Incident Response auf Linux-Systemen
•Sodna in izvensodna izvedenska mnenja

So läuft eine last-/lastlog-Analyse ab

Nach der Sicherung werden die relevanten Binärdateien direkt aus dem forensischen Abbild extrahiert und strukturiert ausgewertet. Die daraus rekonstruierte Anmeldehistorie wird anschließend mit SSH-, PAM- und weiteren Authentifizierungsprotokollen abgeglichen, um ein konsistentes Gesamtbild zu erhalten.

Warum ist diese Analyse forensisch relevant?

Anmeldehistorien sind häufig zentraler Ausgangspunkt für die Aufklärung unautorisierter Zugriffe oder ungewöhnlicher Nutzungsmuster einzelner Benutzerkonten.

Da diese Dateien grundsätzlich manipulierbar sind, wird ihre Aussagekraft stets im Abgleich mit unabhängigen weiteren Quellen wie SSH- oder Auditd-Protokollen bewertet, statt isoliert betrachtet zu werden.

Pogosta vprašanja

Was ist der Unterschied zwischen wtmp und lastlog?+
wtmp protokolliert eine fortlaufende Historie aller An- und Abmeldungen, lastlog speichert dagegen für jeden Benutzer nur die jeweils letzte Anmeldung.
Können diese Dateien manipuliert werden?+
Ja, grundsätzlich ist eine Manipulation durch Benutzer mit ausreichenden Rechten möglich, weshalb ein Abgleich mit weiteren Quellen erfolgt.
Reicht der last-Befehl für eine forensische Auswertung aus?+
Nein, für eine forensisch belastbare Auswertung werden die zugrunde liegenden Binärdateien direkt aus dem gesicherten Abbild ausgewertet.

🔗 Sorodne teme

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „last- und lastlog-Protokolle forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Stopite v stik zdaj