auth.log Forensics

Définition

/var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL/CentOS) est le journal d'authentification Linux qui enregistre toutes les tentatives de connexion SSH, su, sudo, PAM, et les changements de compte. C'est la première source de preuves à analyser lors d'une suspicion de compromission d'un serveur Linux. Les entrées auth.log contiennent des informations essentielles : timestamp, hostname, service (sshd, sudo, su, cron), PID, et message. Pour SSH, les entrées clés incluent 'Accepted publickey' (connexion réussie par clé SSH avec adresse IP source et fingerprint de clé), 'Accepted password' (connexion par mot de passe), 'Failed password' (tentative échouée), 'Invalid user' (utilisateur inexistant), et 'Disconnected from' (déconnexion avec durée de session). L'analyse forensique d'auth.log permet de : identifier des tentatives de brute force SSH (nombreux 'Failed password' depuis une même IP), détecter des connexions depuis des adresses IP inhabituelles, tracer les escalades de privilèges sudo (chaque commande sudo est journalisée avec l'utilisateur et la commande), et identifier les sessions SSH actives ou récentes. Les commandes sudo sont particulièrement précieuses : chaque exécution crée une entrée 'sudo: username : TTY=pts/0 ; PWD=/home/user ; USER=root ; COMMAND=/path/to/command'. Ces entrées permettent de reconstituer exactement ce qu'un utilisateur a exécuté avec des privilèges élevés, même si le fichier bash_history a été effacé. La rotation des logs est un élément critique pour la forensique. auth.log est typiquement rotaté quotidiennement ou hebdomadairement par logrotate, avec compression (auth.log.1, auth.log.2.gz, etc.). L'investigateur doit analyser tous les fichiers rotatés disponibles. Sur les systèmes systemd, journalctl peut également fournir des logs d'authentification centralisés et plus résistants à la manipulation. Les attaquants tentent souvent de supprimer ou modifier auth.log pour effacer leurs traces. Des incohérences temporelles (gaps dans les timestamps), une taille de fichier anormalement faible, ou des timestamps de modification récents sur les archives rotées sont des indicateurs de manipulation.