IT-kriminalteknik · macOS

Forensisk analyse af nylige elementer – rekonstruktion af spor efter senest anvendte objekter

macOS führt in verschiedenen System- und Anwendungskontexten Informationen zu zuletzt verwendeten Objekten. Apple dokumentiert für Launch Services ausdrücklich die Verwaltung und Aktualisierung des Recent-Items-Menüs. Je nach macOS-Version und Anwendung können zusätzliche benutzerbezogene Artefakte Hinweise auf zuletzt verwendete Anwendungen, Dokumente oder andere Ressourcen enthalten.

Uforpligtende forespørgsel

Für die Forensik können solche Spuren bei der Rekonstruktion von Benutzeraktivitäten wertvoll sein. Ein Eintrag in einer Recent-Items-Struktur muss jedoch technisch eingeordnet werden: Er kann einen Nutzungsbezug anzeigen, ersetzt aber nicht automatisch den Nachweis, wer das Objekt geöffnet hat oder welche konkrete Aktion damit durchgeführt wurde.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Wir untersuchen vorhandene Recent-Items-bezogene Datenbestände und ordnen referenzierte Anwendungen, Dokumente, Pfade und Zeitbezüge ein. Dabei berücksichtigen wir versionsabhängige Unterschiede und prüfen, ob die referenzierten Objekte noch existieren oder weitere Dateisystemspuren hinterlassen haben.

Die Ergebnisse werden mit Launch Services, Dateimetadaten, Spotlight, FSEvents, Unified Logs und anwendungsbezogenen Artefakten korreliert.

Typiske anvendelsesområder

•Rekonstruktion zuletzt verwendeter Dokumente
•Untersuchung von App-Nutzungsbezügen
•Analyse af brugeraktiviteter
•Dokumenten- und Datenabflussuntersuchungen
•Korrelation mit Dateisystem-Timelines
•Prüfung gelöschter oder verschobener Objekte
•Retslige og udenretslige ekspertudtalelser

Sådan foregår den retsmedicinske undersøgelse

Zunächst werden auf der forensischen Kopie vorhandene Recent-Items-Strukturen ermittelt und relevante Referenzen extrahiert. Pfade, Dateinamen, Anwendungsbezüge und technisch verfügbare Zeitinformationen werden dokumentiert.

Anschließend wird geprüft, ob die referenzierten Objekte im aktuellen Dateisystem, in Snapshots oder in weiteren Artefakten wiederzufinden sind. Eine belastbare Aktivitätsaussage wird nur getroffen, wenn die Gesamtspurenlage dies unterstützt.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Recent Items können eine direkte Brücke zwischen Benutzeroberfläche und Dateisystem bilden. Sie sind besonders hilfreich, wenn untersucht werden soll, welche Dokumente oder Anwendungen in einem bestimmten Arbeitskontext eine Rolle gespielt haben könnten.

Die Daten sind jedoch nicht zwingend vollständig und können verändert oder gelöscht werden. Deshalb sind sie als Teil einer Artefaktkette und nicht als alleiniger Beweis zu bewerten.

Ofte stillede spørgsmål

Was sind Recent Items?+
Damit sind System- oder Anwendungsinformationen zu zuletzt verwendeten Objekten wie Apps oder Dokumenten gemeint.
Verwaltet Launch Services Recent Items?+
Apple dokumentiert, dass Launch Services Inhalte des Recent-Items-Menüs pflegen und aktualisieren kann.
Beweist ein Recent-Item-Eintrag, wer ein Dokument geöffnet hat?+
Nicht allein. Benutzerkontext und tatsächliche Handlung müssen anhand zusätzlicher Spuren bewertet werden.
Können Einträge auf nicht mehr vorhandene Dateien verweisen?+
Das ist möglich. Ob ein solcher Befund belastbar ist, muss mit Dateisystem- und weiteren Artefakten abgeglichen werden.

LanCologne – macOS-forensik i Köln

Sie benötigen eine professionelle Untersuchung von Recent-Items- und Dokumentnutzungsspuren? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren Rekonstruktion.

Kontakt os nu