IT-rikostutkinta · macOS

Time Machine -tilannekuvien rikostekninen analysointi – Aikaisempien tiedostotilojen tutkiminen macOS:ssa

Time Machine kann auf APFS-formatierten Macs lokale Snapshots des Startvolumes anlegen. Apple dokumentiert, dass diese ungefähr stündlich erzeugt und typischerweise für etwa 24 Stunden aufbewahrt werden. Zusätzlich kann ein Snapshot des letzten erfolgreichen Time-Machine-Backups bis zum nächsten Speicherplatzbedarf bestehen bleiben; seit macOS High Sierra wird außerdem vor der Installation eines macOS-Updates ein weiterer Snapshot angelegt.

Pyydä sitoumukseton tarjous

Für die Forensik können solche lokalen Snapshots frühere Dateizustände oder Versionen zugänglich machen. Ihre Existenz und ihr Inhalt sind jedoch nicht garantiert. Snapshots können automatisch entfernt werden, insbesondere wenn Speicherplatz benötigt wird.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkinta suoritetaan periaatteessa yksinomaan rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusvoimaisesti.

Palvelumme

Wir identifizieren vorhandene lokale Time-Machine-Snapshots, dokumentieren deren Zeitbezug und ordnen sie dem betreffenden APFS-Volume zu. Soweit technisch zugänglich, vergleichen wir relevante Dateien und Verzeichnisse mit dem aktuellen Datenbestand und weiteren vorhandenen Snapshots.

Die Untersuchung unterscheidet ausdrücklich zwischen lokalen APFS-Snapshots und externen beziehungsweise netzwerkbasierten Time-Machine-Backups. Aussagen werden nur zu tatsächlich vorhandenen und ausgewerteten Datenbeständen getroffen.

Tyypillisiä käyttökohteita

•Vergleich früherer und aktueller Dateiversionen
•Untersuchung gelöschter oder veränderter Dateien
•Rekonstruktion zeitlicher Systemzustände
•Analyse vor oder nach macOS-Updates
•Manipulointisyytösten tutkiminen
•Ergänzung einer APFS-Dateisystemanalyse
•Oikeudelliset ja oikeuden ulkopuoliset asiantuntijalausunnot

Näin rikostekninen tutkimus etenee

Nach der beweissicheren Erfassung werden vorhandene APFS-Snapshots inventarisiert und darauf geprüft, ob sie Time Machine oder einem anderen Systemzweck zugeordnet werden können. Relevante Snapshots werden zeitlich eingeordnet und anschließend mit dem aktuellen Dateisystemzustand verglichen.

Dabei wird berücksichtigt, dass lokale Time-Machine-Snapshots automatisch verwaltet und entfernt werden können. Ein fehlender Snapshot ist daher kein Beweis dafür, dass Time Machine zu einem bestimmten Zeitpunkt nicht aktiv war. Ergebnisse werden mit APFS-Metadaten, FSEvents und weiteren macOS-Artefakten korreliert.

Miksi tämä esine on rikosteknologisesti merkityksellinen?

Lokale Time-Machine-Snapshots können einen früheren Zustand von Dateien bereitstellen, obwohl das externe Backup-Volume gerade nicht verfügbar ist. Dadurch können sie in geeigneten Fällen eine zusätzliche historische Datenquelle darstellen.

Ihre forensische Aussagekraft hängt von der tatsächlichen Snapshot-Verfügbarkeit und dem untersuchten Zeitraum ab. Sie bilden keine unbegrenzt vollständige Historie und dürfen nicht mit einer dauerhaften, externen Time-Machine-Sicherung gleichgesetzt werden.

Usein kysyttyjä kysymyksiä

Wie häufig erzeugt Time Machine lokale Snapshots?+
Apple gibt an, dass ungefähr stündlich ein Snapshot des Startvolumes gespeichert und typischerweise etwa 24 Stunden aufbewahrt wird.
Werden lokale Snapshots dauerhaft gespeichert?+
Nein. Sie werden automatisch verwaltet und können unter anderem entfernt werden, wenn Speicherplatz benötigt wird.
Benötigen lokale Time-Machine-Snapshots APFS?+
Ja. Apple beschreibt lokale Time-Machine-Snapshots für Datenträger mit Apple File System (APFS).
Kann ein fehlender Snapshot beweisen, dass Time Machine nicht aktiv war?+
Nein. Snapshots können automatisch gelöscht werden; das Fehlen allein erlaubt keinen sicheren Rückschluss auf die frühere Konfiguration.

LanCologne – macOS-rikostutkinta Kölnissä

Sie benötigen eine professionelle Untersuchung vorhandener Time-Machine-Snapshots? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren Auswertung früherer Dateizustände.

Ota yhteyttä nyt