Informática forense · macOS

Análisis forense de Screen Time: clasificación del uso de aplicaciones y sitios web en macOS

Screen Time forma parte de macOS desde la versión 10.15 y puede proporcionar información sobre el uso de aplicaciones, sitios web y otras actividades del dispositivo. Apple describe, entre otras cosas, informes sobre el uso de aplicaciones y sitios web, notificaciones y actividad del dispositivo. Además, dependiendo de la configuración, los datos de «Tiempo de uso» pueden sincronizarse entre los dispositivos asociados a la misma cuenta de Apple.

Solicitar información sin compromiso

En el ámbito forense, los datos disponibles de «Tiempo de pantalla» pueden proporcionar indicios sobre el uso de determinadas aplicaciones o sitios web durante un periodo de tiempo. Sin embargo, no deben interpretarse como un registro completo de la actividad. La función «Tiempo de uso» debe estar activada o configurada adecuadamente; los datos pueden combinarse entre distintos dispositivos y Apple señala que, al borrar el historial de Safari o una aplicación, pueden eliminarse los datos de uso asociados.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Comprobamos si hay datos de tiempo de pantalla disponibles en la fuente de datos forense y si pueden analizarse para el usuario o el periodo de tiempo en cuestión. La información de uso disponible se clasifica por aplicación, sitio web, periodo de tiempo y dispositivo.

Los resultados se cotejan con datos del navegador, registros unificados, datos de aplicaciones y otros rastros temporales. El tiempo de uso que se muestra no se atribuye a un comportamiento concreto del usuario sin antes haberlo comprobado, especialmente si Screen Time se ha sincronizado entre dispositivos.

Ámbitos de aplicación habituales

•Reconstrucción del uso de aplicaciones y sitios web
•Limitación temporal de las actividades de los usuarios
•Análisis de los períodos de trabajo y de uso
•Correlación con elementos del navegador y de la aplicación
•Revisión de las instrucciones de uso para todos los dispositivos
•Ampliación de las líneas de tiempo existentes de macOS
•Peritajes judiciales y extrajudiciales

Así es como se lleva a cabo la investigación forense

Una vez realizada la copia de seguridad con garantía de integridad, se comprueba en primer lugar si la función «Tiempo de pantalla» estaba activada y qué datos están disponibles. A continuación, se extrae la información relevante sobre el uso y se asigna a la aplicación, el sitio web, el intervalo de tiempo y —en la medida en que sea técnicamente posible— al dispositivo correspondiente.

Se presta especial atención a la posible sincronización entre varios dispositivos de Apple. Apple permite visualizar tanto las estadísticas de uso de dispositivos individuales como las combinadas. Por ello, antes de extraer conclusiones temporales o personales, se comprueba si los datos realmente pueden atribuirse al Mac analizado.

¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?

Screen Time puede complementar un análisis clásico de datos de macOS con información sobre el uso. Precisamente a la hora de determinar si se ha utilizado una aplicación o un sitio web en un intervalo de tiempo concreto, los datos disponibles pueden aportar una pista adicional.

Su valor probatorio tiene límites claros: Screen Time no es un registro de auditoría forense, puede estar desactivado y los datos pueden sincronizarse o eliminarse. Por lo tanto, solo se pueden obtener conclusiones fiables mediante la correlación con pruebas independientes.

Preguntas frecuentes

¿Desde cuándo existe la función «Tiempo de pantalla» en el Mac?+
Apple ofrece documentación sobre Screen Time para macOS 10.15 y versiones posteriores.
¿Qué información puede mostrar la función «Tiempo de pantalla»?+
Entre otras cosas, el uso de la aplicación y del sitio web, así como —en función de la versión y del dispositivo— otras estadísticas de uso.
¿Pueden los datos de «tiempo de pantalla» proceder de varios dispositivos?+
Sí. Si la cuenta de Apple está configurada adecuadamente, los datos de uso se pueden sincronizar entre dispositivos y mostrarse de forma combinada.
¿Es «Tiempo de pantalla» un registro completo de la actividad del usuario?+
No. La disponibilidad, la configuración, la sincronización y los procesos de eliminación deben tenerse en cuenta en la evaluación forense.

LanCologne – Análisis forense de macOS en Colonia

¿Necesita un análisis profesional de los datos de tiempo de pantalla o de uso en un Mac? LanCologne le ayuda a realizar copias de seguridad válidas ante los tribunales y a llevar a cabo un análisis técnico transparente.

Ponte en contacto con nosotros ahora