IT Forensics · macOS
APFS Snapshots forensisch analysieren – frühere Dateisystemzustände untersuchen
APFS unterstützt Snapshots als schreibgeschützte Abbildungen eines APFS-Volumes zu einem bestimmten Zeitpunkt. Snapshots können dadurch frühere Dateisystemzustände repräsentieren, ohne eine vollständige zweite Kopie aller Daten anzulegen. macOS nutzt Snapshot-Mechanismen unter anderem im Zusammenhang mit Time Machine und Systemfunktionen.
Für die Forensik können vorhandene Snapshots äußerst wertvoll sein, weil Dateien oder Metadaten in einem früheren Zustand noch sichtbar sein können. Ein Snapshot ist jedoch kein garantiertes Archiv: Verfügbarkeit, Lebensdauer und Inhalt hängen von Systemnutzung, Speicherverwaltung und dem jeweiligen Erstellungsmechanismus ab.
Why LanCologne?
Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and assist companies, solicitors, private individuals and, on a regular basis, the courts in the technical investigation of complex digital matters.
The examination is, as a matter of principle, carried out exclusively on a forensic copy, a forensic image or a data source captured in a technically equivalent manner that preserves the integrity of the evidence. The original evidence remains unchanged and is stored in a manner that preserves its integrity.
Our services
Wir erfassen vorhandene APFS-Volumes und Snapshots, dokumentieren Snapshot-Bezeichnungen und technisch verfügbare Zeitbezüge und vergleichen relevante Dateisystemzustände miteinander.
Bei konkreten Fragestellungen prüfen wir, ob Dateien, Verzeichnisse oder Metadaten in einem Snapshot vorhanden sind, die im aktuellen Zustand verändert oder nicht mehr sichtbar sind. Ergebnisse werden mit FSEvents, Time Machine und weiteren Dateisystemartefakten korreliert.
Typical areas of application
This is how the forensic investigation is carried out
Nach der beweissicheren Sicherung werden APFS-Container, Volumes und vorhandene Snapshots inventarisiert. Relevante Snapshots werden möglichst read-only ausgewertet und mit dem aktuellen Dateisystemzustand verglichen.
Dabei wird genau dokumentiert, aus welchem Snapshot ein Befund stammt. Ein in einem Snapshot vorhandenes Objekt wird nicht ohne weitere Prüfung als Beweis dafür interpretiert, dass es zu einem anderen Zeitpunkt unverändert oder aktiv genutzt wurde.
Why is this area of investigation relevant to forensics?
APFS Snapshots können Zustände sichtbar machen, die im aktuellen Dateisystem nicht mehr unmittelbar vorhanden sind. Dies ist insbesondere bei Löschungen, Änderungen und Incident-Response-Untersuchungen wertvoll.
Ihre Aussagekraft hängt jedoch vom konkreten Snapshot ab. Nicht jeder Zeitraum ist abgedeckt und nicht jede gelöschte Information bleibt durch einen Snapshot erhalten.
Frequently Asked Questions
🔗 Related topics
LanCologne – macOS Forensics in Cologne
Sie benötigen eine professionelle Untersuchung vorhandener APFS Snapshots? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und dem nachvollziehbaren Vergleich früherer Dateisystemzustände.