Informática forense · macOS

Análisis forense del sistema de archivos APFS: la base de las investigaciones modernas en macOS

El Apple File System (APFS) es, desde macOS 10.13, el sistema de archivos predeterminado de los sistemas Mac modernos. Se ha diseñado para memorias flash y SSD, y admite, entre otras cosas, metadatos «copy-on-write», «space sharing», clones, instantáneas y cifrado. Desde el punto de vista forense, el conocimiento de la estructura del APFS es, por lo tanto, un requisito esencial para el análisis adecuado de los sistemas macOS actuales.

Solicitar información sin compromiso

En los Macs con capacidad de arranque, desde macOS 10.15, un contenedor APFS suele estar compuesto por varios volúmenes que forman un conjunto lógico. Además del volumen del sistema y del volumen de datos, pueden existir, entre otros, volúmenes de prearranque, de recuperación y de máquinas virtuales. Desde macOS 11, el sistema operativo se inicia habitualmente a partir de una instantánea del volumen del sistema. Esta arquitectura debe tenerse en cuenta a la hora de realizar copias de seguridad y análisis, ya que los datos modificables por el usuario y los componentes protegidos del sistema ya no se encuentran juntos en un único volumen de sistema de archivos clásico.

Un análisis de APFS no se limita al hallazgo de archivos individuales. Se evalúan conjuntamente las estructuras de contenedores y volúmenes, las funciones de los volúmenes, las instantáneas, los metadatos del sistema de archivos, la información temporal y la relación con otros elementos de macOS. En el caso de los sistemas cifrados, también deben tenerse en cuenta FileVault, los mecanismos de claves vinculados a Secure Enclave y la generación concreta del dispositivo. Las afirmaciones sobre la posibilidad de recuperar contenidos borrados deben formularse con cautela y de forma específica para cada caso, especialmente en el caso de los SSD, debido al cifrado, a la función TRIM y a las áreas de memoria que ya han sido sobrescritas.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis de los sistemas macOS se lleva a cabo, por regla general, exclusivamente sobre una copia forense o una imagen forense. La prueba original permanece inalterada y se conserva de forma que se garantice su validez probatoria.

Nuestros servicios

Analizamos los contenedores y volúmenes APFS, las funciones de los volúmenes, los metadatos del sistema de archivos, las instantáneas APFS existentes, así como la asignación lógica entre el volumen del sistema y el de datos. En función del dispositivo, la versión de macOS y el estado de los datos, se correlacionan las estructuras relevantes con los datos de usuario, del sistema, de las aplicaciones y de los registros. Si FileVault está activo, se evalúa en primer lugar si es posible acceder a los datos de usuario cifrados y en qué condiciones legales y técnicas está permitido. El objetivo es llevar a cabo una reconstrucción técnica trazable basada en los artefactos realmente existentes.

Ámbitos de aplicación habituales

•Reconstrucción de las actividades relacionadas con los archivos y los usuarios
•Análisis de archivos eliminados o movidos
•Análisis de instantáneas APFS
•Evaluación de volúmenes de sistema y de datos
•Robo de datos y acusaciones de manipulación
•Respuesta ante incidentes en sistemas macOS
•Peritajes judiciales y extrajudiciales

Así se lleva a cabo un análisis forense de APFS

Tras el registro con garantías probatorias del soporte de datos o de la fuente de datos forenses técnicamente disponible, se determina en primer lugar la estructura APFS. Para ello, se documentan los contenedores, los volúmenes, las funciones de los volúmenes, el estado de cifrado y las instantáneas existentes. A continuación, se correlaciona la información relevante del sistema de archivos con otros artefactos de macOS. Dependiendo del modelo de Mac y de la configuración de seguridad, el método de recopilación de datos puede variar considerablemente; en particular, los sistemas Apple Silicon y T2 requieren una evaluación de las posibilidades de acceso existentes antes de que se puedan examinar los datos de usuario. Todos los pasos de la investigación y las limitaciones técnicas se documentan de forma clara y comprensible.

¿Por qué es tan importante el análisis APFS?

En los sistemas Mac actuales, APFS constituye la base técnica para el almacenamiento de datos del sistema operativo, de los usuarios y de las aplicaciones. La división en grupos de volúmenes, instantáneas y mecanismos modernos de cifrado difiere notablemente de los antiguos sistemas HFS+. Una interpretación errónea de estas estructuras puede dar lugar a conclusiones erróneas en cuanto a la cronología o el contenido. Por ello, los artefactos de APFS no se analizan de forma aislada, sino que siempre se evalúan junto con los registros pertinentes de macOS, los artefactos de usuario y los datos de las aplicaciones.

Preguntas frecuentes

¿Qué es APFS?+
APFS es el sistema de archivos de Apple y, desde macOS 10.13, el sistema de archivos predeterminado para los sistemas Mac modernos.
¿Se va a examinar el sistema original?+
No. El análisis se lleva a cabo, por regla general, sobre una copia forense, una imagen forense o cualquier otra fuente de datos forense que se haya obtenido de forma que se garantice su validez como prueba.
¿Siempre se pueden recuperar los archivos borrados en APFS?+
No. Las posibilidades dependen, entre otras cosas, del cifrado, del tipo de dispositivo, de la función TRIM del SSD, de la sobrescritura y de la estructura concreta del APFS. La recuperación puede verse muy limitada o resultar imposible, sobre todo en los sistemas modernos con SSD cifrados.
¿Qué importancia tienen las instantáneas APFS?+
Las instantáneas son estados de solo lectura de un volumen APFS en un momento determinado. Si se dispone de instantáneas adecuadas, estas pueden aportar información adicional para la reconstrucción temporal y de contenido.

LanCologne – Análisis forense de macOS en Colonia

¿Necesita un análisis forense profesional de un sistema Mac o de un disco APFS? LanCologne le ayuda a realizar copias de seguridad de pruebas digitales válidas ante los tribunales, así como a llevar a cabo un análisis trazable de los artefactos relevantes de macOS y APFS.

Ponte en contacto con nosotros ahora