IT-kriminalteknik · macOS

Forensisk analyse af macOS MDM-artefakter

MDM-artefakter i macOS kan give vigtige tekniske oplysninger i forbindelse med en macOS-undersøgelse. Undersøg spor efter enhedsadministration og klassificer eksisterende tilknytninger til registrering, profiler og administration teknisk, uden at udlede konkrete fjernhandlinger ud fra en ren MDM-tilknytning.

Uforpligtende forespørgsel

Det afgørende er her, at der skelnes klart mellem en eksisterende artefakt, en konfiguration og en faktisk påviselig bruger- eller systemaktivitet. Enkelte spor fortolkes derfor ikke isoleret, men sættes i sammenhæng med artefakter fra filsystemet, logfiler, brugerkonti og andre sagrelaterede artefakter.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi sikkerhedskopierer og undersøger de artefakter, der er relevante for macOS MDM-artefakter, på forensiske arbejdskopier. I den forbindelse dokumenterer vi oprindelse, sti eller datakilde, tidsangivelser og tekniske rammeforhold.

Analysen foretages ud fra den enkelte version og den konkrete sammenhæng. Der fremsættes kun konklusioner, i det omfang de er teknisk underbygget af den konkret dokumenterede datamængde.

Typiske anvendelsesområder

•Retslige og udenretslige ekspertudtalelser
•Håndtering af sikkerhedshændelser og undersøgelser af sikkerhedsbrud
•Rekonstruktion af bruger- og systemaktiviteter
•Kontrol af sikkerhedsrelevante konfigurationer
•Undersøgelse af mulige manipulationer
•Tidsmæssig sammenhæng med andre macOS-fejl
•Teknisk bevissikring og sporbar dokumentation

Sådan foregår den retsmedicinske undersøgelse

Først registreres det relevante lagringsmedie eller den tilgængelige datamængde på en måde, der sikrer bevisværdien, og der genereres et hash-værdi. Analysen foretages derefter udelukkende på arbejdskopier.

Derefter identificeres de for sagsforholdet relevante artefakter, vurderes på en struktureret måde og sammenholdes med uafhængige spor. Tidsstempler, databasetilstande, konfigurationer og logfiler sammenkobles ikke uden en vurdering af deres respektive tekniske betydning. Fund, fortolkninger og antagelser, der ikke kan underbygges teknisk, adskilles klart fra hinanden.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Undersøge spor efter en enhedsadministration og teknisk klassificere eksisterende tilknytninger til registrering, profiler og administration uden at udlede konkrete fjernhandlinger ud fra en ren MDM-tilknytning.

Især i macOS kan operativsystemversion, hardwareplatform, databeskyttelsesmekanismer, synkronisering og opbevaringsperiode have betydelig indflydelse på sporene. Manglen på et enkelt spor er derfor i princippet ikke automatisk et bevis på det modsatte.

Ofte stillede spørgsmål

Hvad skal man være opmærksom på i forbindelse med „macOS MDM-artefakter“ i forbindelse med digital efterforskning?
Vi sikkerhedskopierer og undersøger de artefakter, der er relevante for macOS MDM-artefakter, på forensiske arbejdskopier. I den forbindelse dokumenterer vi oprindelse, sti henholdsvis datakilde, tidsangivelser og tekniske rammeforhold. Analysen foretages med udgangspunkt i den pågældende version og kontekst. Der fremsættes kun konklusioner, i det omfang de er teknisk underbygget af den konkret sikrede datamængde.
Hvordan foregår en sådan retsmedicinsk undersøgelse i praksis?
Først registreres det relevante lagringsmedium henholdsvis den tilgængelige datamængde på en bevissikker måde og hashes. Analysen foretages derefter udelukkende på arbejdskopier. Derefter identificeres de sagsrelevante artefakter, evalueres struktureret og korreleres med uafhængige spor. Tidsstempler, databasetilstande, konfigurationer og logfiler sammenkøres ikke uden en vurdering af deres respektive tekniske betydning. Fund, fortolkninger og antagelser, der ikke kan underbygges teknisk, adskilles klart fra hinanden.
Hvilken retsmedicinsk betydning har resultaterne på dette område?
Undersøge spor efter en enhedsadministration og teknisk klassificere eksisterende tilknytninger til registrering, profiler og administration uden at udlede konkrete fjernhandlinger ud fra en ren MDM-tilknytning. Især på macOS kan operativsystemversion, hardwareplatform, databeskyttelsesmekanismer, synkronisering og opbevaringsperiode have betydelig indflydelse på sporene. Manglen på et enkelt spor er derfor i princippet ikke et automatisk negativt bevis.
Bliver formodninger fremstillet som sikre fund i forbindelse med en sådan undersøgelse?
Nej. Resultaterne af tekniske undersøgelser præsenteres kun i det omfang, de er underbygget af det faktisk dokumenterede datagrundlag. Antagelser, der ikke kan underbygges, formuleres ikke som dokumenterede fund.

🔗 Relaterede emner

LanCologne – macOS-forensik i Köln

Har du brug for en professionel undersøgelse af „macOS MDM-artefakter“? LanCologne hjælper dig med at foretage en retsgyldig sikkerhedskopiering og en teknisk gennemsigtig analyse.

Kontakt os nu