IT-kriminalteknik · macOS

Forensisk analyse af macOS-kalenderen

macOS-kalenderen kan levere vigtige tekniske oplysninger i forbindelse med en macOS-undersøgelse. Undersøg lokale kalenderdata, begivenheder, konti og synkroniseringsforbindelser. Tidspunkter, tidszoner og tilbagevendende begivenheder gennemgås strukturelt.

Uforpligtende forespørgsel

Det afgørende er her, at der skelnes klart mellem en eksisterende artefakt, en konfiguration og en faktisk påviselig bruger- eller systemaktivitet. Enkelte spor fortolkes derfor ikke isoleret, men sættes i sammenhæng med artefakter fra filsystemet, logfiler, brugerkonti og andre sagrelaterede artefakter.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi sikkerhedskopierer og undersøger de artefakter, der er relevante for macOS-kalenderen, på retstekniske arbejdskopier. I den forbindelse dokumenterer vi oprindelse, sti henholdsvis datakilde, tidsangivelser og tekniske rammeforhold.

Analysen foretages ud fra den enkelte version og den konkrete sammenhæng. Der fremsættes kun konklusioner, i det omfang de er teknisk underbygget af den konkret dokumenterede datamængde.

Typiske anvendelsesområder

•Retslige og udenretslige ekspertudtalelser
•Håndtering af sikkerhedshændelser og undersøgelser af sikkerhedsbrud
•Rekonstruktion af bruger- og systemaktiviteter
•Kontrol af sikkerhedsrelevante konfigurationer
•Undersøgelse af mulige manipulationer
•Tidsmæssig sammenhæng med andre macOS-fejl
•Teknisk bevissikring og sporbar dokumentation

Sådan foregår den retsmedicinske undersøgelse

Først registreres det relevante lagringsmedie eller den tilgængelige datamængde på en måde, der sikrer bevisværdien, og der genereres et hash-værdi. Analysen foretages derefter udelukkende på arbejdskopier.

Derefter identificeres de for sagsforholdet relevante artefakter, vurderes på en struktureret måde og sammenholdes med uafhængige spor. Tidsstempler, databasetilstande, konfigurationer og logfiler sammenkobles ikke uden en vurdering af deres respektive tekniske betydning. Fund, fortolkninger og antagelser, der ikke kan underbygges teknisk, adskilles klart fra hinanden.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Undersøgelse af lokale kalenderdata, begivenheder, konti og synkroniseringsforbindelser. Tidspunkter, tidszoner og tilbagevendende begivenheder kontrolleres strukturelt.

Især i macOS kan operativsystemversion, hardwareplatform, databeskyttelsesmekanismer, synkronisering og opbevaringsperiode have betydelig indflydelse på sporene. Manglen på et enkelt spor er derfor i princippet ikke automatisk et bevis på det modsatte.

Ofte stillede spørgsmål

Hvad skal man være opmærksom på i forbindelse med „macOS Kalender“ i forbindelse med retsmedicinsk undersøgelse?
Vi sikkerhedskopierer og undersøger de artefakter, der er relevante for macOS-kalenderen, på forensiske arbejdskopier. I den forbindelse dokumenterer vi oprindelse, sti henholdsvis datakilde, tidsangivelser og tekniske rammeforhold. Analysen foretages med udgangspunkt i den enkelte version og den konkrete kontekst. Der fremsættes kun konklusioner, i det omfang de er teknisk underbygget af den konkret sikrede datamængde.
Hvordan foregår en sådan retsmedicinsk undersøgelse i praksis?
Først registreres det relevante lagringsmedium henholdsvis den tilgængelige datamængde på en bevissikker måde og hashes. Analysen foretages derefter udelukkende på arbejdskopier. Derefter identificeres de sagsrelevante artefakter, evalueres struktureret og korreleres med uafhængige spor. Tidsstempler, databasetilstande, konfigurationer og logfiler sammenkøres ikke uden en vurdering af deres respektive tekniske betydning. Fund, fortolkninger og antagelser, der ikke kan underbygges teknisk, adskilles klart fra hinanden.
Hvilken retsmedicinsk betydning har resultaterne på dette område?
Undersøg lokale kalenderdata, begivenheder, konti og synkroniseringsforbindelser. Tidsangivelser, tidszoner og tilbagevendende begivenheder kontrolleres strukturelt. Især på macOS kan operativsystemversion, hardwareplatform, databeskyttelsesmekanismer, synkronisering og opbevaringsperiode have betydelig indflydelse på sporene. Manglen på et enkelt spor er derfor i princippet ikke automatisk et bevis på, at der ikke er noget.
Bliver formodninger fremstillet som sikre fund i forbindelse med en sådan undersøgelse?
Nej. Resultaterne af tekniske undersøgelser præsenteres kun i det omfang, de er underbygget af det faktisk dokumenterede datagrundlag. Antagelser, der ikke kan underbygges, formuleres ikke som dokumenterede fund.

🔗 Relaterede emner

LanCologne – macOS-forensik i Köln

Har du brug for en professionel undersøgelse af „macOS Kalender“? LanCologne hjælper dig med at foretage en retsgyldig sikkerhedskopiering og en teknisk gennemsigtig analyse.

Kontakt os nu