Linux var log forensics

Définition

L'analyse forensique du répertoire /var/log est une étape fondamentale de toute investigation sur un système Linux/Unix. Ce répertoire centralise la majorité des journaux système et applicatifs qui documentent les activités passées du système, les tentatives d'accès, les erreurs, et les événements de sécurité. Sa préservation précoce lors d'une investigation est prioritaire car certains logs sont rotationnels et peuvent être écrasés rapidement. Les fichiers de log les plus forensiquement pertinents dans /var/log incluent : syslog ou messages (log général du système, messages des démons), auth.log ou secure (authentifications SSH, sudo, PAM, connexions locales), kern.log (messages du noyau, incluant les chargements de modules), daemon.log (logs des démons système), mail.log ou maillog (activité du serveur de messagerie), cron (exécutions des tâches cron), dmesg (messages du buffer de démarrage noyau), lastlog (dernières connexions de tous les comptes), wtmp (historique de toutes les connexions/déconnexions), btmp (tentatives de connexion échouées), et faillog (échecs d'authentification par compte). Les logs systemd (journald) dans /var/log/journal remplacent ou complètent les logs traditionnels syslog sur les systèmes modernes. Le format binaire journald (journalctl pour l'accès) offre des métadonnées supplémentaires et une résistance aux manipulations, mais peut être corrompu ou supprimé par un attaquant avec accès root. Le tamper detection des logs est un aspect critique. Les attaquants tentent souvent d'effacer leurs traces dans les logs (commandes sed, truncate, ou simple suppression des fichiers). Des indices de manipulation incluent : des timestamps qui s'arrêtent puis reprennent (lacune temporelle suspecte), une taille de fichier anormalement petite pour l'âge du fichier, des fichiers de log manquants ou avec des permissions modifiées, des entrées avec des timestamps futurs ou incohérents. L'analyse chronologique multi-source (syslog + auth.log + kern.log + audit.log) permet de reconstruire la séquence des événements d'un incident avec une granularité à la seconde.