IT-kriminalteknik · macOS

Forensisk analyse af macOS-systemudvidelser

macOS-systemudvidelser kan give vigtige tekniske oplysninger i forbindelse med en macOS-undersøgelse. Undersøg installerede og godkendte systemudvidelser. Udvikleroplysninger, udvidelsestype og konfigurationskontekst sammenholdes med andre systemdata.

Uforpligtende forespørgsel

Det afgørende er her, at der skelnes klart mellem en eksisterende artefakt, en konfiguration og en faktisk påviselig bruger- eller systemaktivitet. Enkelte spor fortolkes derfor ikke isoleret, men sættes i sammenhæng med artefakter fra filsystemet, logfiler, brugerkonti og andre sagrelaterede artefakter.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi sikkerhedskopierer og undersøger de artefakter, der er relevante for macOS-systemudvidelser, på forensiske arbejdskopier. I den forbindelse dokumenterer vi oprindelse, sti henholdsvis datakilde, tidsangivelser og tekniske rammeforhold.

Analysen foretages ud fra den enkelte version og den konkrete sammenhæng. Der fremsættes kun konklusioner, i det omfang de er teknisk underbygget af den konkret dokumenterede datamængde.

Typiske anvendelsesområder

•Retslige og udenretslige ekspertudtalelser
•Håndtering af sikkerhedshændelser og undersøgelser af sikkerhedsbrud
•Rekonstruktion af bruger- og systemaktiviteter
•Kontrol af sikkerhedsrelevante konfigurationer
•Undersøgelse af mulige manipulationer
•Tidsmæssig sammenhæng med andre macOS-fejl
•Teknisk bevissikring og sporbar dokumentation

Sådan foregår den retsmedicinske undersøgelse

Først registreres det relevante lagringsmedie eller den tilgængelige datamængde på en måde, der sikrer bevisværdien, og der genereres et hash-værdi. Analysen foretages derefter udelukkende på arbejdskopier.

Derefter identificeres de for sagsforholdet relevante artefakter, vurderes på en struktureret måde og sammenholdes med uafhængige spor. Tidsstempler, databasetilstande, konfigurationer og logfiler sammenkobles ikke uden en vurdering af deres respektive tekniske betydning. Fund, fortolkninger og antagelser, der ikke kan underbygges teknisk, adskilles klart fra hinanden.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Undersøgelse af installerede og godkendte systemudvidelser. Udviklerhenvisning, udvidelsestype og konfigurationskontekst sammenholdes med andre systemartefakter.

Især i macOS kan operativsystemversion, hardwareplatform, databeskyttelsesmekanismer, synkronisering og opbevaringsperiode have betydelig indflydelse på sporene. Manglen på et enkelt spor er derfor i princippet ikke automatisk et bevis på det modsatte.

Ofte stillede spørgsmål

Hvad skal man være opmærksom på i forbindelse med „macOS System Extensions“ i forbindelse med retsmedicinsk undersøgelse?
Vi sikkerhedskopierer og undersøger de artefakter, der er relevante for macOS-systemudvidelser, på forensiske arbejdskopier. I den forbindelse dokumenterer vi oprindelse, sti eller datakilde, tidsangivelser og tekniske rammeforhold. Analysen foretages med udgangspunkt i den enkelte version og den konkrete kontekst. Der fremsættes kun konklusioner, i det omfang de er teknisk underbygget af det konkret sikrede datamateriale.
Hvordan foregår en sådan retsmedicinsk undersøgelse i praksis?
Først registreres det relevante lagringsmedium henholdsvis den tilgængelige datamængde på en bevissikker måde og hashes. Analysen foretages derefter udelukkende på arbejdskopier. Derefter identificeres de sagsrelevante artefakter, evalueres struktureret og korreleres med uafhængige spor. Tidsstempler, databasetilstande, konfigurationer og logfiler sammenkøres ikke uden en vurdering af deres respektive tekniske betydning. Fund, fortolkninger og antagelser, der ikke kan underbygges teknisk, adskilles klart fra hinanden.
Hvilken retsmedicinsk betydning har resultaterne på dette område?
Undersøg installerede og godkendte systemudvidelser. Udviklerhenvisning, udvidelsestype og konfigurationskontekst sammenholdes med andre systemartefakter. Især på macOS kan operativsystemversion, hardwareplatform, databeskyttelsesmekanismer, synkronisering og opbevaringsperiode have betydelig indflydelse på sporene. Manglen på en enkelt artefakt er derfor i princippet ikke et automatisk bevis på noget negativt.
Bliver formodninger fremstillet som sikre fund i forbindelse med en sådan undersøgelse?
Nej. Resultaterne af tekniske undersøgelser præsenteres kun i det omfang, de er underbygget af det faktisk dokumenterede datagrundlag. Antagelser, der ikke kan underbygges, formuleres ikke som dokumenterede fund.

🔗 Relaterede emner

LanCologne – macOS-forensik i Köln

Har du brug for en professionel undersøgelse af „macOS System Extensions“? LanCologne hjælper dig med at foretage en retsgyldig sikkerhedskopiering og en teknisk gennemsigtig analyse.

Kontakt os nu