IT forenzika · macOS

Analýza důkazních materiálů APFS pomocí Belkasoft X

Podle výrobce podporuje Belkasoft X datové zdroje macOS a systém APFS a dokáže analyzovat obrazy počítačů i řadu typů artefaktů. Díky tomu se hodí jako doplňková nezávislá analytická platforma pro případy týkající se počítačů Mac.

Nezávazná poptávka

U počítačů Apple je tento bod obzvláště důležitý, protože se hardwarová a bezpečnostní architektura v posledních letech výrazně změnila. Starší iMac s procesorem Intel, Mac s procesorem Intel a čipem T2 Security Chip a aktuální Mac Studio s čipem Apple Silicon nelze posuzovat podle stejného technického schématu. Systémy APFS, Secure Enclave, FileVault a příslušný stav systému určují, která data jsou přístupná a která metoda zálohování způsobí co nejméně změn.

Výsledky Belkasoft se v případě významných nálezů ověřují pomocí nativních nástrojů pro Mac, RECON LAB, X-Ways nebo ruční analýzy. Různé parsery mohou poskytovat odlišné výsledky.

Proč LanCologne?

Společnost LanCologne neprovádí vyšetřování počítačů Apple podle paušálního standardního schématu, ale na základě konkrétní hardwarové a bezpečnostní architektury. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a dlouholeté praktické zkušenosti v oblasti IT forenziky. Pomáháme firmám, advokátům, soukromým osobám a pravidelně také soudům a úřadům při technickém objasňování digitálních skutečností.

Vyšetřování se zásadně provádí na forenzní kopii, forenzním obrazu nebo na datovém zdroji, který byl zaznamenán technicky rovnocenným způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn, případně jsou technicky nevyhnutelné zásahy transparentně zdokumentovány a materiál je uložen způsobem zajišťujícím důkazní hodnotu.

Náš způsob práce a používané nástroje

Naše vyšetřování nezačíná spuštěním analytického programu, ale sběrem důkazů. Zaznamenávají se údaje o zařízení, modelu, sériovém čísle nebo inventárním čísle, stavu připojení, viditelném stavu systému a přítomných periferních zařízeních. Poté se rozhodne, zda musí systém zůstat vypnutý, zda je vhodné provést sběr dat za chodu, nebo zda je z technického hlediska opodstatněné použít postup obnovy, cílového disku či sdíleného disku.

V dalším kroku se stanoví strategie zálohování. Rozlišujeme přitom mezi blokově orientovaným mapováním, logickým zálohováním a cíleným tříděním. Volba nezávisí na pohodlí, ale na generaci hardwaru, FileVaultu, struktuře APFS, dostupném stavu odemknutí a konkrétní otázce důkazu. Tam, kde je to technicky možné, pracujeme v režimu jen pro čtení. Nevyhnutelné změny stavu při živých nebo obnovovacích opatřeních jsou výslovně zaznamenány.

Vytvořená záloha je zdokumentována pomocí hashových hodnot. Samotná analýza se neprovádí na originálu, ale na pracovní kopii, respektive na ověřeném důkazním obrazu. Takto lze využívat parsery, vyhledávací procesy nebo vlastní pomocné programy, aniž by docházelo k průběžným změnám původního důkazního materiálu.

Belkasoft X využíváme jako doplňkovou platformu pro analýzu a korelaci. Výrobce podporuje zdroje macOS, systém APFS i různé formáty obrazů a poskytuje funkce pro vyhledávání v rámci celého případu, časovou osu a analýzu. U klíčových nálezů zůstává součástí našeho pracovního postupu zpětná kontrola proti původnímu zdroji dat nebo pomocí druhého nástroje.

Pro čtenáře, který není odborníkem v této oblasti, je přitom obzvláště důležitý jeden bod: forenzní program automaticky „nenajde“ pravdu. Čte datové struktury a interpretuje je podle známých pravidel. Pokud Apple v nové verzi macOS změní databázi nebo formát metadat, může parser reagovat neúplně nebo nesprávně. Proto u zásadních zjištění ověřujeme, z jakého souboru, databáze nebo struktury souborového systému výsledek pochází a zda stejný stav potvrzuje i druhý technický postup.

To je také důvod, proč používáme několik nástrojů. RECON LAB dokáže nativně analyzovat struktury specifické pro Apple v systému macOS; Belkasoft X nabízí odlišný pohled na artefakty a korelace; X-Ways umožňuje velmi podrobné kontroly souborového systému a surových dat. Pokud se nezávislé analýzy shodují, zvyšuje to spolehlivost výsledků. Pokud se neshodují, je příčina prošetřena a není jednoduše vybrán nejpohodlnější výsledek.

Typické oblasti použití

•Soudní a mimosoudní posudky
•Zajištění důkazů z počítačů iMac, Mac mini, Mac Studio, MacBook a Mac Pro
•Analýza systémů Apple Silicon, T2 a starších systémů s procesory Intel
•Reakce na incidenty a vyšetřování malwaru
•Analýza artefaktů APFS, uživatelů, aplikací a systému
•Rekonstrukce aktivit souvisejících se soubory, uživateli a sítí
•Kontrola výsledků automatického parsování
•Analýza smazaných, historických nebo pouze nepřímo viditelných stop
•Dokumentace pro soudy, advokáty, podniky a úřady

Takto probíhá forenzní vyšetřování

1Zaznamenání důkazních prostředků a dokumentace stavu

Zařízení Apple je nejprve jednoznačně identifikováno a zdokumentováno fotograficky nebo písemně. Zaznamenáme, zda je zapnuté či vypnuté, přihlásené, uzamčené nebo připojené k externím datovým nosičům. Tyto informace mohou být později rozhodující.

2Technické zařazení

Určí se generace čipu, verze macOS, struktura APFS, FileVault a příslušné bezpečnostní mechanismy. Teprve na základě toho lze určit vhodnou metodu sběru dat.

3Zabezpečení s důkazní hodnotou

Záloha se volí tak, aby se na originálu změnilo co nejméně. RECON ITR lze v závislosti na konkrétním případě použít pro imaging nebo triage moderních počítačů Mac. Jiné situace vyžadují Apple Recovery, režim Target Disk Mode u procesorů Intel nebo Share Disk u Apple Silicon. Každý krok se zaznamenává.

4Kontrola integrity

Vytvořené obrazy nebo logické zálohy jsou jednoznačně pojmenovány, opatřeny hash hodnotami a ověřeny. Analýza a vyhledávání se následně provádějí na pracovních kopiích.

5Vícestupňová analýza

RECON LAB, Belkasoft X a X-Ways se kombinují v závislosti na daném úkolu. Důležitý výsledek se pokud možno nečerpá pouze z jednoho pohledu parseru.

6Ruční ověření

Pokud je nějaký artefakt obzvláště důležitý pro dokazování, neobvyklý nebo standardním softwarem podporován pouze částečně, ručně prověřujeme surová data, struktury databází, metadata nebo informace o souborovém systému. V případě potřeby využíváme vlastní nástroje.

7Zpráva a odkaz na důkaz

Na závěr neuvádíme pouze výčet toho, co nástroj zobrazil. Vysvětlujeme, na jakém technickém zdroji se zjištění zakládá, jaký závěr lze vyvodit a kde jsou jeho meze.

Proč je tato oblast vyšetřování relevantní z forenzního hlediska?

Podle výrobce podporuje Belkasoft X datové zdroje macOS a systém APFS a dokáže analyzovat obrazy počítačů i řadu typů artefaktů. Díky tomu se hodí jako doplňková nezávislá analytická platforma pro případy týkající se počítačů Mac.

Forenzní hodnota nespočívá pouze v množství nalezených dat, ale v jejich původu a spolehlivosti. Název souboru, časové razítko nebo záznam v databázi mohou být bez kontextu matoucí. Proto dokumentujeme, jak mohl artefakt vzniknout, jaká existují alternativní vysvětlení a jaké další stopy tento nález podporují.

Výsledky Belkasoft se v případě významných nálezů ověřují pomocí nativních nástrojů pro Mac, RECON LAB, X-Ways nebo ruční analýzy. Různé parsery mohou poskytovat odlišné výsledky.

Zejména u moderních počítačů Mac může navíc pokus o „klasickou“ analýzu datového nosiče narazit na technické limity. Šifrování na úrovni hardwaru, Secure Enclave, FileVault a APFS jasně ukazují, proč je tak důležité provést odborné zálohování ještě před samotnou analýzou. Chyby v této fázi nelze později vždy napravit.

Často kladené otázky

Na co je třeba z forenzního hlediska dbát při „analýze důkazního materiálu z APFS pomocí Belkasoft X“?
Naše vyšetřování nezačíná spuštěním analytického programu, ale sběrem důkazů. Zaznamenáváme zařízení, model, sériové číslo nebo inventární číslo, stav připojení, viditelný stav systému a přítomná periferní zařízení. Poté se rozhoduje, zda musí systém zůstat vypnutý, zda je vhodné provést sběr dat za chodu, nebo zda je z technického hlediska opodstatněné použít postup obnovy, cílového disku či sdíleného disku. V dalším kroku se stanoví strategie zálohování. Rozlišujeme přitom mezi blokovým zkopírováním, logickým zálohováním a cíleným tříděním dat. Volba nezávisí na pohodlí, ale na generaci hardwaru, FileVaultu, struktuře APFS, dostupném stavu odemknutí a konkrétní důkazní otázce. Je-li to technicky možné, pracuje se v režimu jen pro čtení. Nevyhnutelné změny stavu při živých nebo obnovovacích opatřeních jsou výslovně zaznamenány. Vytvořená záloha je zdokumentována pomocí hash hodnot. Samotná analýza se neprovádí na originálu, ale na pracovní kopii, resp. na ověřeném důkazním obrazu. Tak lze používat parsery, vyhledávací procesy nebo vlastní pomocné programy, aniž by se průběžně měnil původní důkazní materiál. Jako doplňkovou platformu pro analýzu a korelaci využíváme Belkasoft X. Výrobce podporuje zdroje macOS, APFS i různé formáty obrazů a poskytuje funkce pro vyhledávání, časovou osu a analýzu v rámci konkrétního případu. U klíčových zjištění zůstává součástí našeho pracovního postupu zpětná kontrola proti původnímu zdroji dat nebo pomocí druhého nástroje. Pro čtenáře, který není odborníkem v této oblasti, je přitom obzvláště důležitý jeden bod: forenzní program automaticky „nenajde“ pravdu. Čte datové struktury a interpretuje je podle známých pravidel. Pokud Apple v nové verzi macOS změní databázi nebo formát metadat, může parser reagovat neúplně nebo nesprávně. Proto u klíčových zjištění ověřujeme, z jakého souboru, databáze nebo struktury souborového systému výsledek pochází a zda stejný stav potvrzuje i druhý technický postup. To je také důvod, proč používáme více nástrojů. RECON LAB dokáže nativně vyhodnocovat struktury specifické pro Apple v systému macOS; Belkasoft X nabízí odlišný pohled na artefakty a korelace; X-Ways umožňuje velmi podrobné kontroly souborového systému a surových dat. Pokud se nezávislé analýzy shodují, zvyšuje to spolehlivost výsledků. Pokud se neshodují, je příčina prošetřena a není jednoduše vybrán nejpohodlnější výsledek.
Jak takové forenzní vyšetřování probíhá v praxi?
1 Zajištění důkazů a dokumentace stavu Zařízení Apple je nejprve jednoznačně identifikováno a zdokumentováno fotograficky nebo písemně. Zaznamenáme, zda je zařízení zapnuté či vypnuté, přihlášeno, uzamčeno nebo připojeno k externím datovým nosičům. Tyto informace mohou být později rozhodující. 2 Technická klasifikace Určí se generace čipu, verze macOS, struktura APFS, FileVault a relevantní bezpečnostní mechanismy. Teprve na základě toho lze určit vhodnou metodu sběru dat. 3 Zabezpečené zálohování Zálohování se volí tak, aby se na originálu změnilo co nejméně. RECON ITR lze v závislosti na případu použít pro imaging nebo triáž moderních počítačů Mac. Jiné situace vyžadují Apple Recovery, Target Disk Mode u procesorů Intel nebo Share Disk u Apple Silicon. Každý krok je zaznamenán do protokolu. 4 Kontrola integrity Vytvořené obrazy nebo logické zálohy jsou jednoznačně pojmenovány, opatřeny hash hodnotami a ověřeny. Analýza a vyhledávání se následně provádějí na pracovních kopiích. 5 Víceúrovňové vyhodnocení: RECON LAB, Belkasoft X a X-Ways se kombinují podle konkrétního zadání. Důležitý výsledek se pokud možno nepřevzímá pouze z jediného zobrazení parseru. 6 Ruční ověření Pokud je nějaký artefakt obzvláště důkazně relevantní, neobvyklý nebo standardním softwarem podporován pouze částečně, ručně prověřujeme surová data, struktury databází, metadata nebo informace o souborovém systému. V případě potřeby využíváme vlastní nástroje. 7 Zpráva a vztah k důkazům Na závěr neuvádíme pouze seznam toho, co nástroj zobrazil. Vysvětlujeme, z jakého technického zdroje nález vychází, jaký závěr je přípustný a kde jsou jeho meze.
Jakou forenzní vypovídací hodnotu mají výsledky v této oblasti?
Podle výrobce podporuje Belkasoft X datové zdroje macOS a systém APFS a dokáže analyzovat obrazy počítačů i řadu typů forenzních stop. Díky tomu se hodí jako doplňková nezávislá analytická platforma v případech týkajících se počítačů Mac. Forenzní hodnota nespočívá pouze v množství nalezených dat, ale také v jejich původu a spolehlivosti. Název souboru, časové razítko nebo záznam v databázi mohou být bez kontextu zavádějící. Proto dokumentujeme, jak mohl artefakt vzniknout, jaká existují alternativní vysvětlení a jaké další stopy podporují daný nález. Výsledky Belkasoft jsou v případě klíčových nálezů ověřovány pomocí nativních nástrojů pro Mac, RECON LAB, X-Ways nebo ruční analýzy. Různé parsery mohou poskytovat odlišné výsledky. Zejména u moderních počítačů Mac může navíc pokus o „klasickou“ analýzu datového nosiče selhat kvůli technickým omezením. Šifrování vázané na hardware, Secure Enclave, FileVault a APFS jasně ukazují, proč je odborné zálohování před samotnou analýzou tak důležité. Chyby v této fázi nelze později vždy napravit.
Jsou při takovém vyšetření domněnky prezentovány jako ověřené nálezy?
Ne. Výsledky technických vyšetření jsou uváděny pouze v rozsahu, v jakém je podloží skutečně ověřenými údaji. Nepodložené domněnky nejsou formulovány jako ověřené nálezy.

LanCologne – Forenzní analýza systému macOS v Kolíně nad Rýnem

Potřebujete odbornou analýzu na téma „Analýza důkazních materiálů APFS pomocí Belkasoft X“? LanCologne vám pomůže s důkazně spolehlivým zajištěním, vícestupňovým vyhodnocením a transparentní dokumentací. Rozhodující přitom není generovat co nejvíce automatických shod, ale zajistit technicky spolehlivé a ověřitelné důkazy.

Kontaktujte nás hned teď