IT-forenzika · Linux

Forenzična analiza dnevnikov »last« in »lastlog« – pregledna analiza zgodovine prijav

Datoteki wtmp in lastlog beležita zgodovino prijav posameznih uporabniških računov, vključno z časom, terminalom in v nekaterih primerih tudi izvorom prijave. Obe datoteki predstavljata podatkovno podlago za ukaze, kot sta last in lastlog.

Nezavezujoča poizvedba

Za forenzično analizo se te datoteke ne analizirajo s standardnimi ukazi tekočega sistema, temveč se izvlečejo neposredno iz varnostne kopije, da se izključi možnost manipulacij v tekočem sistemu.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Podatke iz datotek wtmp in lastlog pridobimo neposredno iz varnostne kopije sistema, rekonstruiramo celotno zgodovino prijav in jo uskladimo z drugimi protokoli avtentifikacije.

Tipična področja uporabe

•Rekonstrukcija časov in izvora prijav
•Dokaz o nepooblaščenih dostopih do uporabniških računov
•Preučevanje neobičajnih vzorcev prijav
•Usklajevanje s protokoloma SSH in PAM
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza obremenitve/dnevnika obremenitve

Po varnostnem kopiranju se ustrezne binarne datoteke izvlečejo neposredno iz forenzične slike in strukturirano analizirajo. Iz tega rekonstruirana zgodovina prijav se nato primerja s protokoli SSH, PAM in drugimi protokoli avtentifikacije, da se pridobi dosledna celotna slika.

Zakaj je ta analiza pomembna s forenzičnega vidika?

Zgodovina prijav je pogosto ključna izhodiščna točka za preiskovanje nepooblaščenih dostopov ali nenavadnih vzorcev uporabe posameznih uporabniških računov.

Ker je te datoteke načeloma mogoče ponarediti, se njihova zanesljivost vedno ocenjuje v primerjavi z neodvisnimi dodatnimi viri, kot so dnevniki SSH ali Auditd, namesto da bi se obravnavale ločeno.

Pogosta vprašanja

Kakšna je razlika med wtmp in lastlog?+
wtmp beleži neprekinjeno zgodovino vseh prijav in odjav, medtem ko lastlog za vsakega uporabnika shrani le zadnjo prijavo.
Ali je mogoče te datoteke spreminjati?+
Da, načeloma je mogoče, da podatke spremenijo uporabniki z ustreznimi pravicami, zato se izvede primerjava z drugimi viri.
Ali je ukaz »last« zadosten za forenzično analizo?+
Ne, za forenzično zanesljivo analizo se izhodiščne binarne datoteke analizirajo neposredno iz varnostne kopije.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „forenzična analiza protokolov obremenitve in dnevnikov obremenitve"? LanCologne vam pomaga pri sodno veljavnem pridobivanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj