Informática forense · macOS
Apple-Silicon-Mac forensisch sichern
Die beweissichere Erfassung eines Macs mit Apple Silicon unterscheidet sich grundlegend von älteren Intel-Systemen. Interne Speicher sind hardwaregebunden verschlüsselt; Secure Enclave, APFS, FileVault-Zustand und der aktuelle Gerätezustand bestimmen, welche Sicherungswege technisch sinnvoll sind.
En el caso de los ordenadores Apple, este aspecto es especialmente importante, ya que la arquitectura de hardware y de seguridad ha cambiado considerablemente en los últimos años. No se puede tratar de la misma manera un iMac antiguo con procesador Intel, un Mac con procesador Intel y chip de seguridad T2 y un Mac Studio actual con Apple Silicon. APFS, Secure Enclave, FileVault y el estado del sistema en cada caso determinan a qué datos se puede acceder y qué método de copia de seguridad provoca menos cambios.
Ein ausgeschalteter oder gesperrter Mac darf nicht so behandelt werden wie ein bereits authentifiziertes, laufendes System. Unüberlegte Neustarts oder Änderungen können Zugriffs- und Beweismöglichkeiten verändern.
¿Por qué LanCologne?
LanCologne no analiza los ordenadores de Apple siguiendo un esquema estándar genérico, sino basándose en la arquitectura concreta del hardware y de seguridad. Nuestros empleados cuentan con décadas de experiencia en tecnologías de la información y una dilatada trayectoria práctica en informática forense. Prestamos apoyo a empresas, abogados y particulares, así como, de forma habitual, a tribunales y organismos públicos, en la investigación técnica de hechos de carácter digital.
El análisis se lleva a cabo, por regla general, sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y con garantías probatorias. La prueba original se conserva sin modificaciones o, en caso de que se realicen intervenciones técnicamente inevitables, se documentan de forma transparente y se conservan con garantías probatorias.
Nuestra forma de trabajar y las herramientas que utilizamos
Nuestra investigación no comienza con la ejecución de un programa de análisis, sino con la recopilación de pruebas. Se documentan el dispositivo, el modelo, el número de serie o de inventario, el estado de las conexiones, el estado visible del sistema y los periféricos disponibles. A continuación, se decide si el sistema debe permanecer apagado, si conviene realizar un análisis en tiempo real o si es técnicamente viable aplicar un procedimiento de recuperación, de disco de destino o de disco compartido.
En el siguiente paso se define la estrategia de copia de seguridad. Para ello, distinguimos entre la representación orientada a bloques, la copia de seguridad lógica y la selección selectiva. La elección no depende de la comodidad, sino de la generación del hardware, FileVault, la estructura APFS, el estado de desbloqueo disponible y la cuestión concreta que se quiera demostrar. Siempre que sea técnicamente posible, se trabaja en modo de solo lectura. Los cambios de estado inevitables que se produzcan durante las medidas en tiempo real o de recuperación se registran expresamente.
La copia de seguridad generada se documenta mediante valores hash. El análisis propiamente dicho no se realiza sobre el original, sino sobre una copia de trabajo o una imagen de prueba verificada. De este modo, es posible utilizar analizadores sintácticos, búsquedas o programas auxiliares propios sin modificar continuamente la prueba original.
En función de la generación del dispositivo y del problema que se plantee, combinamos las funciones nativas de Apple con herramientas forenses especializadas. Para la adquisición y el triaje de datos de Mac se puede utilizar SUMURI RECON ITR; para el análisis nativo de macOS, RECON LAB. Belkasoft X y X-Ways sirven además para la verificación cruzada de artefactos, líneas temporales y datos de bajo nivel. Ninguna herramienta se considera la única fuente de verdad.
Para un lector sin conocimientos especializados, hay un aspecto especialmente importante: un programa forense no „descubre“ automáticamente la verdad. Lee estructuras de datos y las interpreta según reglas conocidas. Si Apple modifica una base de datos o un formato de metadatos con una nueva versión de macOS, un analizador sintáctico puede reaccionar de forma incompleta o errónea. Por eso, ante hallazgos decisivos, comprobamos de qué archivo, base de datos o estructura del sistema de archivos procede el resultado y si un segundo método técnico confirma los mismos hechos.
Esa es también la razón por la que utilizamos varias herramientas. RECON LAB puede analizar estructuras específicas de Apple de forma nativa en macOS; Belkasoft X ofrece otra perspectiva de los artefactos y las correlaciones; X-Ways permite realizar comprobaciones muy detalladas del sistema de archivos y de los datos en bruto. Si los análisis independientes coinciden, la fiabilidad aumenta. Si no coinciden, se investiga la causa y no se selecciona simplemente el resultado más conveniente.
Ámbitos de aplicación habituales
Así es como se lleva a cabo la investigación forense
En primer lugar, se identifica de forma inequívoca el dispositivo de Apple y se documenta mediante fotografías o por escrito. Anotamos si está encendido o apagado, si ha iniciado sesión, si está bloqueado o si está conectado a soportes de datos externos. Esta información puede resultar decisiva más adelante.
Se determinan la generación del chip, la versión de macOS, la estructura APFS, FileVault y los mecanismos de seguridad pertinentes. Solo a partir de ahí se puede determinar el método de registro adecuado.
La copia de seguridad se selecciona de tal forma que se modifique lo menos posible el original. RECON ITR puede utilizarse, según el caso, para la creación de imágenes o la clasificación de Mac modernos. Otras situaciones requieren Apple Recovery, el modo de disco de destino en Intel o Share Disk en Apple Silicon. Se registra cada paso.
Las imágenes creadas o las copias de seguridad lógicas se nombran de forma unívoca, se les asignan valores hash y se verifican. A continuación, los análisis y las búsquedas se realizan en copias de trabajo.
RECON LAB, Belkasoft X y X-Ways se combinan en función de la cuestión que se plantee. En la medida de lo posible, un resultado importante no se toma únicamente de una única vista del analizador sintáctico.
Si un artefacto reviste especial importancia como prueba, es inusual o el software estándar solo lo admite de forma parcial, revisamos manualmente los datos brutos, las estructuras de las bases de datos, los metadatos o la información del sistema de archivos. En caso necesario, utilizamos herramientas propias.
Al final, no solo se enumera lo que ha mostrado una herramienta. Explicamos cuál es la fuente técnica en la que se basa el resultado, qué conclusión se puede extraer y cuáles son sus límites.
¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?
Die beweissichere Erfassung eines Macs mit Apple Silicon unterscheidet sich grundlegend von älteren Intel-Systemen. Interne Speicher sind hardwaregebunden verschlüsselt; Secure Enclave, APFS, FileVault-Zustand und der aktuelle Gerätezustand bestimmen, welche Sicherungswege technisch sinnvoll sind.
El valor forense no reside únicamente en la cantidad de datos encontrados, sino en su procedencia y fiabilidad. El nombre de un archivo, una marca de tiempo o una entrada en una base de datos pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo pudo haberse generado un artefacto, qué explicaciones alternativas existen y qué otras pruebas respaldan el hallazgo.
Ein ausgeschalteter oder gesperrter Mac darf nicht so behandelt werden wie ein bereits authentifiziertes, laufendes System. Unüberlegte Neustarts oder Änderungen können Zugriffs- und Beweismöglichkeiten verändern.
Además, precisamente en los Mac modernos, el intento de realizar un análisis „clásico“ del disco puede fracasar debido a limitaciones técnicas. El cifrado integrado en el hardware, Secure Enclave, FileVault y APFS dejan claro por qué es tan importante realizar una copia de seguridad adecuada antes del análisis propiamente dicho. Los errores cometidos en esta fase no siempre se pueden revertir posteriormente.
Preguntas frecuentes
Was ist bei „Apple-Silicon-Mac“ forensisch zu beachten?
En el siguiente paso se define la estrategia de copia de seguridad. Para ello, distinguimos entre la representación orientada a bloques, la copia de seguridad lógica y la selección selectiva. La elección no depende de la comodidad, sino de la generación del hardware, FileVault, la estructura APFS, el estado de desbloqueo disponible y la cuestión concreta que se quiera demostrar. Siempre que sea técnicamente posible, se trabaja en modo de solo lectura. Los cambios de estado inevitables que se produzcan durante las medidas en tiempo real o de recuperación se registran expresamente.
La copia de seguridad generada se documenta mediante valores hash. El análisis propiamente dicho no se realiza sobre el original, sino sobre una copia de trabajo o una imagen de prueba verificada. De este modo, es posible utilizar analizadores sintácticos, búsquedas o programas auxiliares propios sin modificar continuamente la prueba original.
En función de la generación del dispositivo y del problema que se plantee, combinamos las funciones nativas de Apple con herramientas forenses especializadas. Para la adquisición y el triaje de datos de Mac se puede utilizar SUMURI RECON ITR; para el análisis nativo de macOS, RECON LAB. Belkasoft X y X-Ways sirven además para la verificación cruzada de artefactos, líneas temporales y datos de bajo nivel. Ninguna herramienta se considera la única fuente de verdad.
Para un lector sin conocimientos especializados, hay un aspecto especialmente importante: un programa forense no „descubre“ automáticamente la verdad. Lee estructuras de datos y las interpreta según reglas conocidas. Si Apple modifica una base de datos o un formato de metadatos con una nueva versión de macOS, un analizador sintáctico puede reaccionar de forma incompleta o errónea. Por eso, ante hallazgos decisivos, comprobamos de qué archivo, base de datos o estructura del sistema de archivos procede el resultado y si un segundo método técnico confirma los mismos hechos.
Esa es también la razón por la que utilizamos varias herramientas. RECON LAB puede analizar estructuras específicas de Apple de forma nativa en macOS; Belkasoft X ofrece otra perspectiva de los artefactos y las correlaciones; X-Ways permite realizar comprobaciones muy detalladas del sistema de archivos y de los datos en bruto. Si los análisis independientes coinciden, la fiabilidad aumenta. Si no coinciden, se investiga la causa y no se selecciona simplemente el resultado más conveniente.
¿Cómo se lleva a cabo en la práctica una investigación forense de este tipo?
En primer lugar, se identifica de forma inequívoca el dispositivo de Apple y se documenta mediante fotografías o por escrito. Anotamos si está encendido o apagado, si ha iniciado sesión, si está bloqueado o si está conectado a soportes de datos externos. Esta información puede resultar decisiva más adelante.
2Technische Einordnung
Se determinan la generación del chip, la versión de macOS, la estructura APFS, FileVault y los mecanismos de seguridad pertinentes. Solo a partir de ahí se puede determinar el método de registro adecuado.
3Beweissichere Sicherung
La copia de seguridad se selecciona de tal forma que se modifique lo menos posible el original. RECON ITR puede utilizarse, según el caso, para la creación de imágenes o la clasificación de Mac modernos. Otras situaciones requieren Apple Recovery, el modo de disco de destino en Intel o Share Disk en Apple Silicon. Se registra cada paso.
4Integritätsprüfung
Las imágenes creadas o las copias de seguridad lógicas se nombran de forma unívoca, se les asignan valores hash y se verifican. A continuación, los análisis y las búsquedas se realizan en copias de trabajo.
5Mehrstufige Auswertung
RECON LAB, Belkasoft X y X-Ways se combinan en función de la cuestión que se plantee. En la medida de lo posible, un resultado importante no se toma únicamente de una única vista del analizador sintáctico.
6Manuelle Validierung
Si un artefacto reviste especial importancia como prueba, es inusual o el software estándar solo lo admite de forma parcial, revisamos manualmente los datos brutos, las estructuras de las bases de datos, los metadatos o la información del sistema de archivos. En caso necesario, utilizamos herramientas propias.
7Bericht und Beweisbezug
Al final, no solo se enumera lo que ha mostrado una herramienta. Explicamos cuál es la fuente técnica en la que se basa el resultado, qué conclusión se puede extraer y cuáles son sus límites.
¿Qué valor probatorio forense tienen los resultados en este ámbito?
El valor forense no reside únicamente en la cantidad de datos encontrados, sino en su procedencia y fiabilidad. El nombre de un archivo, una marca de tiempo o una entrada en una base de datos pueden dar lugar a malentendidos si se analizan fuera de contexto. Por eso documentamos cómo pudo haberse generado un artefacto, qué explicaciones alternativas existen y qué otras pruebas respaldan el hallazgo.
Ein ausgeschalteter oder gesperrter Mac darf nicht so behandelt werden wie ein bereits authentifiziertes, laufendes System. Unüberlegte Neustarts oder Änderungen können Zugriffs- und Beweismöglichkeiten verändern.
Además, precisamente en los Mac modernos, el intento de realizar un análisis „clásico“ del disco puede fracasar debido a limitaciones técnicas. El cifrado integrado en el hardware, Secure Enclave, FileVault y APFS dejan claro por qué es tan importante realizar una copia de seguridad adecuada antes del análisis propiamente dicho. Los errores cometidos en esta fase no siempre se pueden revertir posteriormente.
¿Se presentan las hipótesis como resultados contrastados en un estudio de este tipo?
🔗 Temas relacionados
LanCologne – Análisis forense de macOS en Colonia
Sie benötigen eine professionelle Untersuchung zu „Apple-Silicon-Mac forensisch sichern“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.