IT-kriminalteknik · macOS

Forensisk analyse af macOS Unified Logs – rekonstruktion af systemhændelser og aktiviteter

Unified Logging System er en central loginfrastruktur i moderne Apple-operativsystemer. I macOS kan man via dette system registrere meddelelser og aktiviteter fra en lang række systemkomponenter og processer. Apples Console-applikation viser blandt andet logmeddelelser, aktiviteter og rapporter og giver mulighed for at søge efter relevante hændelser.

Uforpligtende forespørgsel

I forbindelse med digital efterforskning kan samlede logfiler give vigtige tidsmæssige og tekniske sammenhænge. Hvilke oplysninger der rent faktisk er tilgængelige, afhænger dog af macOS-versionen, logningsadfærd, opbevaring, databeskyttelsesmekanismer og den undersøgte proces. Ikke alle brugerhandlinger genererer en brugbar logpost.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi analyserer eksisterende Unified Log-data på den forensiske arbejdskopi og filtrerer dem ud fra det konkrete problemstilling. Relevante tidsstempler, processer, delsystemer, kategorier og meddelelsesindhold dokumenteres og sammenholdes med andre macOS-artefakter.

Logmeddelelser tolkes ikke isoleret som bevis på en brugerhandling. Det afgørende er, om en teknisk handling kan bekræftes af flere uafhængige spor og placeres tidsmæssigt konsistent.

Typiske anvendelsesområder

•Rekonstruktion af system- og proceshændelser
•Håndtering af sikkerhedshændelser på macOS
•Undersøgelse af mistænkelige programaktiviteter
•Analyse af registrerings- og systemprocesser
•Tidsmæssig sammenhæng mellem tekniske hændelser
•Støtte til analyse af malware og persistens
•Retslige og udenretslige ekspertudtalelser

Sådan foregår den retsmedicinske undersøgelse

Efter den pålidelige dataindsamling identificeres de tilgængelige Unified Log-datasæt og analyseres for den relevante undersøgelsesperiode. Filtreringen baseres på tidsvinduer, processer, delsystemer, kategorier og sagsrelaterede søgeord.

Resultaterne sammenlignes derefter med filsystemdata, FSEvents, applikationsdata, brugeroplysninger og andre logkilder. Her tages der højde for tidszoner, tidsstempelkontekst og eventuelle datahuller. Dokumentationen skelner klart mellem den loggede tekniske hændelse og den konklusion, der kan drages heraf.

Hvorfor er dette artefakt relevant i en retsmedicinsk sammenhæng?

Unified Logs kan give et detaljeret indblik i tekniske processer på et macOS-system og er især værdifulde i forbindelse med tidsfølsomme undersøgelser, håndtering af hændelser og analyse af procesaktiviteter.

Deres beviskraft afhænger dog af de konkrete omstændigheder. Manglende indberetninger beviser ikke, at en hændelse ikke har fundet sted. Ligeledes kan en enkelt indberetning uden sammenhæng være misvisende. En pålidelig retsmedicinsk vurdering opnås derfor som regel først gennem sammenholdning med andre spor.

Ofte stillede spørgsmål

Hvad er macOS Unified Logs?+
De udgør en del af Apples centrale loginfrastruktur og indeholder meddelelser og aktiviteter fra forskellige systemkomponenter og processer.
Er alle brugeraktiviteter gemt der?+
Nej. Omfanget og indholdet afhænger af den pågældende komponent, macOS-versionen, opbevaringsforholdene og andre tekniske faktorer.
Kan Unified Logs bruges til en tidslinje?+
Ja, relevante begivenheder kan placeres i en tidsmæssig rækkefølge. De bør dog sammenholdes med andre fund.
Er en manglende logpost et bevis på, at noget ikke er sket?+
Nej. Uden yderligere teknisk belæg kan man ikke udlede et sikkert modbevis ud fra, at der mangler en registrering.

LanCologne – macOS-forensik i Köln

Har du brug for en professionel analyse af macOS Unified Logs? LanCologne hjælper dig med at udarbejde en retsgyldig sikkerhedskopi og foretage en gennemsigtig analyse af relevante system- og proceshændelser.

Kontakt os nu