IT-kriminalteknik · macOS

Forensisk analyse af macOS-brugerkonti – kortlægning af bruger- og kontostrukturer

Lokale brugerkonti udgør et vigtigt referencepunkt for en lang række macOS-elementer. Konti har deres egne brugermapper, indstillinger og rettigheder og kan tilhøre forskellige grupper. I forbindelse med en retsmedicinsk undersøgelse er det derfor af afgørende betydning, at der sker en korrekt sammenkobling af konto, hjemmemappe og andre brugerrelaterede spor.

Uforpligtende forespørgsel

En eksisterende brugerkonto beviser dog ikke, at den pågældende person selv var aktiv på enheden på et bestemt tidspunkt. Kontoindstillinger, login og konkrete brugerhandlinger skal vurderes hver for sig.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi registrerer eksisterende lokale brugerkonti, brugerkataloger, gruppetilhørsforhold og teknisk tilgængelige metadata om konti. Derefter sammenholdes disse oplysninger med loginhændelser, filindehavere, artefakter i brugerbiblioteker og andre sagsrelaterede spor.

Særlige kontotyper og systemkonti behandles separat fra almindelige interaktive brugerkonti. Personrelaterede tilknytninger foretages kun, hvis den overordnede sporingsstruktur tillader det.

Typiske anvendelsesområder

•Tildeling af brugerrelaterede artefakter
•Undersøgelse af flere lokale konti
•Rekonstruktion af strukturer for konto- og hjemmemapper
•Kontrol af administrative rettigheder
•Håndtering af sikkerhedshændelser og undersøgelser af interne sager
•Sammenhæng med spor fra login og filsystemet
•Retslige og udenretslige ekspertudtalelser

Sådan foregår den retsmedicinske undersøgelse

Efter at beviserne er sikret, udarbejdes der en oversigt over konto- og mappestrukturer. Brugernavne, hjemmemapper, gruppemedlemskaber og andre relevante metadata dokumenteres og sammenlignes med spor fra filsystemet og log-in-oplysninger.

Derefter undersøges det, hvilke artefakter der entydigt kan tilknyttes en konto, og hvilke der blot findes på systemniveau. Den tekniske kontotilknytning sidestilles ikke med en fysisk persons identitet uden yderligere dokumentation.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Brugerkonti udgør den organisatoriske ramme for mange macOS-spor. Uden en korrekt tildeling af konti kan data fra browsere, programmer, dokumenter eller indstillinger blive fortolket forkert.

Fra et retsmedicinsk synspunkt er det afgørende at skelne mellem „dette artefakt hører til brugerprofil X“ og „person X har udført denne handling“. Sidstnævnte kræver som regel yderligere beviser.

Ofte stillede spørgsmål

Hvorfor er brugerkonti vigtige i forbindelse med digital efterforskning?+
Mange macOS-filer er brugerrelaterede og findes i den pågældende hjemmemappe eller er knyttet til en lokal konto.
Beviser en brugerkonto, at den benyttes af en bestemt person?+
Nej. Den tekniske tildeling af en konto er ikke automatisk ensbetydende med en personrelateret tildeling af handlinger.
Er administratorrettigheder relevante i forbindelse med digital efterforskning?+
Ja. Gruppe- og rettighedskonteksten kan være vigtig, når man vurderer mulige systemændringer.
Vurderes systemkonti på samme måde som almindelige brugerkonti?+
Nej. Der skal skelnes mellem system- og servicekonti og brugerkonti, der anvendes interaktivt.

LanCologne – macOS-forensik i Köln

Har du brug for en professionel analyse af brugerkonti og brugerrelaterede spor på en Mac? LanCologne hjælper dig med at foretage en retsgyldig sikkerhedskopiering og en sporbar tilordning.

Kontakt os nu