IT forenzika · macOS

Forenzní analýza koše v systému macOS – prozkoumání smazaných a přesunutých souborů

Při přesunutí souboru do koše není tento soubor v běžném provozu systému macOS zpočátku nutně fyzicky odstraněn ze souborového systému. Struktury koše související s uživatelem proto mohou obsahovat příslušné soubory a metadata. Teprve při vyprázdnění koše nebo v důsledku dalších systémových operací se změní výchozí stav pro případnou obnovu.

Nezávazná poptávka

Z forenzního hlediska je třeba pečlivě rozlišovat mezi „přesunutím do koše“, „vyprázdněním koše“ a „fyzickým přepsáním, resp. stavem, kdy již není možné data obnovit“. Tyto stavy nejsou z technického hlediska rovnocenné.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Prověřujeme struktury koše z hlediska uživatelů a – pokud je to v daném případě relevantní – z hlediska objemu, zda obsahují soubory, adresáře a metadata. Názvy souborů, cesty, časová razítka a další informace o souborovém systému jsou korelovány s událostmi FSEvents, snímky APFS a dalšími stopami aktivity.

Pokud již byl koš vyprázdněn, prověřuje se samostatně, zda jiné forenzní zdroje ještě obsahují stopy nebo data, která lze rekonstruovat.

Typické oblasti použití

•Vyšetřování smazaných dokumentů
•Rekonstrukce hasičských zásahů
•Vyšetřování případů úniku důvěrných informací a dat
•Vyhledávání souborů, které zůstaly v koši
•Korelace s událostmi FSEvents a snímky APFS
•Kontrola období mazání a změn
•Soudní a mimosoudní posudky

Takto probíhá forenzní vyšetřování

Po zálohování se identifikují příslušné adresáře koše v kontextu daného uživatele nebo svazku. Existující objekty se podroby hashování, zdokumentují a vyhodnotí s ohledem na jejich kontext v souborovém systému.

Pokud je koš vyprázdněn, nelze zaručit obnovení dat. Systém APFS, funkce SSD Trim, šifrování a mezitímní používání mohou výrazně ovlivnit možnosti obnovy.

Proč je tato oblast vyšetřování relevantní z forenzního hlediska?

Koš je důležitým zdrojem informací při zjišťování, které soubory uživatel určil ke smazání nebo které položky v něm ještě zůstaly před jeho vyprázdněním.

Položka v koši však sama o sobě neprokazuje důvod smazání ani totožnost osoby, která akci provedla. K zodpovězení těchto otázek jsou zapotřebí další údaje o uživateli a jeho aktivitách.

Často kladené otázky

Je soubor v koši již trvale smazán?+
V běžném postupu to zpočátku není nezbytné. Nachází se ve struktuře koše a před jeho vyprázdněním tam často ještě může být.
Lze vyprázdněný koš vždy obnovit?+
Ne. Zejména systém APFS, funkce SSD-Trim, šifrování a další způsoby využití mohou obnovu znemožnit.
Prokazuje soubor v koši, kdo jej smazal?+
To nestačí. Je třeba navíc zohlednit kontext uživatele a relace.
Mohou snímky stavu pomoci v případě smazaných souborů?+
Stávající snímky APFS nebo Time Machine mohou v příslušných případech obsahovat dřívější stavy.

LanCologne – Forenzní analýza systému macOS v Kolíně nad Rýnem

Potřebujete profesionální vyšetření smazaných souborů nebo koše v systému macOS? Společnost LanCologne vám pomůže s pořízením důkazně způsobilých záznamů a technicky spolehlivou rekonstrukcí.

Kontaktujte nás hned teď