Informática forense · macOS

Análisis forense de Launch Services: evaluación de las asignaciones de aplicaciones y documentos en macOS

Launch Services es un componente del sistema macOS que gestiona la apertura de aplicaciones, documentos y direcciones URL. Apple documenta, entre otras cosas, la asignación de aplicaciones predeterminadas a tipos de documentos y direcciones URL, el registro de tipos de archivo compatibles y la gestión del contenido del menú de elementos utilizados recientemente.

Solicitar información sin compromiso

Por ello, para la ciencia forense, Launch Services resulta interesante como fuente de contexto para las aplicaciones instaladas o registradas, las asignaciones de tipos de archivo y determinadas referencias a los elementos recientes. Sin embargo, un registro o una asignación no demuestran que un documento concreto haya sido abierto realmente por una persona determinada.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Analizamos los datos disponibles relacionados con los servicios de inicio y clasificamos técnicamente las aplicaciones registradas, los identificadores de paquetes, los tipos de documentos o URL y otras asignaciones disponibles. Los resultados relevantes se cotejan con los paquetes de aplicaciones instalados, los metadatos de los archivos, los elementos recientes, los registros unificados y otros datos de uso.

En este sentido, se distingue claramente entre el registro en el sistema, la asignación preferente de aplicaciones y el uso realmente demostrable.

Ámbitos de aplicación habituales

Así es como se lleva a cabo la investigación forense

Una vez realizada la copia de seguridad con garantía de integridad, se identifican los conjuntos de datos disponibles de Launch Services y se comparan con el inventario de aplicaciones del sistema. Se documenta la información de los paquetes, así como las asignaciones de tipos de archivo y de URL.

En la medida en que existan datos sobre elementos recientes o sobre el uso, estos se correlacionarán con otros datos. Del mero registro de una aplicación no se deduce ni su ejecución ni ninguna acción concreta del usuario.

¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?

Launch Services constituye una parte importante de la infraestructura de aplicaciones y documentos de macOS. Estos datos pueden explicar qué aplicación estaba destinada a un tipo de archivo concreto, qué información sobre la aplicación conocía el sistema o en qué contexto deben interpretarse otros elementos.

Desde el punto de vista forense, la distinción entre configuración y uso resulta especialmente decisiva. Un paquete de aplicaciones registrado es, en primer lugar, un estado del sistema; para determinar si se ha iniciado realmente o si se ha abierto un documento se necesitan pruebas adicionales.

Preguntas frecuentes

LanCologne – Análisis forense de macOS en Colonia

¿Necesita un análisis profesional de los datos de los servicios de lanzamiento y de asignación de aplicaciones? LanCologne le ayuda a realizar copias de seguridad válidas ante los tribunales y a realizar una clasificación técnica trazable.

Ponte en contacto con nosotros ahora