Informatique légale · macOS

Analyse médico-légale des instantanés APFS – examen des états antérieurs du système de fichiers

APFS prend en charge les instantanés, qui sont des images en lecture seule d'un volume APFS à un moment donné. Les instantanés peuvent ainsi représenter des états antérieurs du système de fichiers sans créer une deuxième copie complète de toutes les données. macOS utilise les mécanismes d'instantanés notamment dans le cadre de Time Machine et des fonctions système.

Demande sans engagement

Dans le domaine de la criminalistique, les instantanés existants peuvent s'avérer extrêmement précieux, car ils permettent parfois de visualiser des fichiers ou des métadonnées tels qu'ils étaient à un moment antérieur. Un instantané ne constitue toutefois pas une archive garantie : sa disponibilité, sa durée de vie et son contenu dépendent de l'utilisation du système, de la gestion du stockage et du mécanisme de création utilisé.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous recensons les volumes APFS et les instantanés existants, répertorions les noms des instantanés et les repères temporels techniquement disponibles, puis comparons entre eux les états pertinents du système de fichiers.

En cas de questions spécifiques, nous vérifions si un instantané contient des fichiers, des répertoires ou des métadonnées qui ont été modifiés ou ne sont plus visibles dans l'état actuel. Les résultats sont mis en corrélation avec FSEvents, Time Machine et d'autres artefacts du système de fichiers.

Domaines d'application typiques

•Analyse des états antérieurs du système de fichiers
•Recherche de fichiers modifiés ou supprimés
•Comparaison entre l'instantané et le volume actuel
•Réponse aux incidents et enquêtes sur les manipulations
•Ajout de chronologies au système de fichiers
•Corrélation avec Time Machine et FSEvents
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde sécurisée effectuée, les conteneurs APFS, les volumes et les instantanés existants sont répertoriés. Les instantanés pertinents sont analysés, si possible en lecture seule, puis comparés à l'état actuel du système de fichiers.

Ce processus permet de documenter précisément de quel instantané provient un résultat. La présence d'un objet dans un instantané n'est pas interprétée, sans vérification supplémentaire, comme la preuve qu'il était inchangé ou activement utilisé à un autre moment.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Les instantanés APFS permettent de visualiser des états qui ne sont plus directement accessibles dans le système de fichiers actuel. Cela s'avère particulièrement utile en cas de suppressions, de modifications et d'enquêtes dans le cadre de la réponse aux incidents.

Leur pertinence dépend toutefois de l'instantané concerné. Toutes les périodes ne sont pas couvertes et toutes les informations supprimées ne sont pas conservées par un instantané.

Foire aux questions

Qu'est-ce qu'un instantané APFS ?+
Une représentation en lecture seule de l'état d'un volume APFS à un moment donné.
Un instantané peut-il contenir des fichiers supprimés ?+
Si le fichier existait au moment de la prise d'instantané, il peut, dans certaines circonstances, y être encore visible.
Les instantanés APFS correspondent-ils à une sauvegarde complète ?+
Non. Les instantanés et les sauvegardes remplissent des fonctions différentes et présentent des caractéristiques différentes en matière de conservation et de stockage.
Peut-on prouver l'action d'un utilisateur à partir d'un simple instantané ?+
Non. L'état d'un système de fichiers doit être mis en corrélation avec des données temporelles, des données relatives aux utilisateurs et des données d'activité.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle des snapshots APFS existants ? LanCologne vous aide à réaliser des sauvegardes conformes aux exigences judiciaires et à comparer de manière traçable les états antérieurs du système de fichiers.

Nous contacter dès maintenant