Informática forense · macOS

Análisis forense de las cuentas de usuario de macOS: comprensión de las estructuras de usuarios y cuentas

Las cuentas de usuario locales constituyen un punto de referencia fundamental para numerosos elementos de macOS. Las cuentas disponen de sus propios directorios de usuario, ajustes y permisos, y pueden pertenecer a diferentes grupos. Por lo tanto, para una investigación forense es fundamental la correcta asignación de la cuenta, el directorio de inicio y otros rastros relacionados con el usuario.

Solicitar información sin compromiso

Sin embargo, el hecho de que exista una cuenta de usuario no demuestra que la persona en cuestión estuviera utilizando el dispositivo en un momento determinado. La configuración de la cuenta, el inicio de sesión y las acciones concretas del usuario deben evaluarse por separado.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Recopilamos las cuentas de usuario locales existentes, los directorios de usuarios, las pertenencias a grupos y los metadatos de las cuentas disponibles desde el punto de vista técnico. A continuación, se correlaciona esta información con los eventos de inicio de sesión, los propietarios de los archivos, los artefactos de la biblioteca de usuarios y otros rastros relacionados con el caso.

Los tipos de cuenta especiales y las cuentas del sistema se tratan por separado de las cuentas de usuario interactivas habituales. Las asignaciones a personas concretas solo se realizan si el contexto general lo justifica.

Ámbitos de aplicación habituales

•Asignación de artefactos relacionados con el usuario
•Análisis de varias cuentas locales
•Reconstrucción de las estructuras de las cuentas y de los directorios de inicio
•Comprobación de los permisos administrativos
•Respuesta ante incidentes e investigaciones internas
•Correlación con los rastros de inicio de sesión y del sistema de archivos
•Peritajes judiciales y extrajudiciales

Así es como se lleva a cabo la investigación forense

Una vez realizada la copia de seguridad con garantía de pruebas, se realiza un inventario de las estructuras de cuentas y directorios. Se documentan los identificadores de usuario, los directorios de inicio, la pertenencia a grupos y otros metadatos relevantes, y se cotejan con los registros del sistema de archivos y de inicio de sesión.

A continuación, se comprueba qué elementos pueden asignarse de forma inequívoca a una cuenta y cuáles solo existen a nivel del sistema. La asignación técnica a una cuenta no se equipara con la identidad de una persona física sin pruebas adicionales.

¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?

Las cuentas de usuario proporcionan el marco organizativo para muchos rastros de macOS. Sin una asignación correcta de las cuentas, los datos del navegador, de las aplicaciones, de los documentos o de la configuración pueden interpretarse de forma errónea.

Desde el punto de vista forense, es fundamental distinguir entre „este artefacto pertenece al perfil de usuario X“ y „la persona X ha realizado esta acción“. Esto último suele requerir pruebas adicionales.

Preguntas frecuentes

¿Por qué las cuentas de usuario son importantes desde el punto de vista forense?+
Muchos archivos de macOS se encuentran en el directorio de inicio correspondiente a cada usuario o están asociados a una cuenta local.
¿Demuestra una cuenta de usuario que la utiliza una persona concreta?+
No. La asignación técnica de una cuenta no supone automáticamente una asignación de acciones a una persona concreta.
¿Son relevantes desde el punto de vista forense los derechos de administrador?+
Sí. El contexto de los grupos y los permisos puede ser importante a la hora de evaluar posibles cambios en el sistema.
¿Se evalúan las cuentas del sistema de la misma manera que las cuentas de usuario normales?+
No. Hay que distinguir entre las cuentas del sistema y de servicio y las cuentas de usuario que se utilizan de forma interactiva.

LanCologne – Análisis forense de macOS en Colonia

¿Necesita un análisis profesional de las cuentas de usuario y los rastros relacionados con los usuarios de un Mac? LanCologne le ayuda a realizar copias de seguridad admisibles en un juicio y a realizar una asignación trazable.

Ponte en contacto con nosotros ahora