Informatique légale · macOS

Analyse médico-légale des événements FSEvents – Reconstitution des modifications apportées au système de fichiers sous macOS

FSEvents est un mécanisme macOS permettant de détecter les modifications au sein des hiérarchies de répertoires surveillées. Apple propose cette interface depuis Mac OS X 10.5. Le service FSEvents traite les événements du système de fichiers et peut conserver des données d'événements persistantes, grâce auxquelles les applications peuvent déterminer si le contenu a changé depuis un état antérieur.

Demande sans engagement

Dans le cadre d'une analyse forensic, les événements FSEvents peuvent fournir des informations précieuses sur les activités liées aux fichiers et aux répertoires. Ces données ne doivent toutefois pas être interprétées comme un journal exhaustif de chaque action effectuée par l'utilisateur. Il convient notamment de tenir compte, lors de chaque évaluation, de la granularité des événements, des lacunes éventuelles, de la rotation des journaux et de l'état concret du système macOS.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous sauvegardons et analysons les données FSEvents existantes au sein de la copie de travail légale, puis nous classons techniquement les identifiants d'événements, les références temporelles, les chemins d'accès et les indicateurs d'événements. Les résultats sont recoupés avec les structures APFS, les métadonnées des fichiers, les journaux unifiés, les métadonnées Spotlight et d'autres artefacts liés à l'affaire.

Une entrée FSEvents n'est pas automatiquement attribuée à une personne ou à une application en particulier. Des conclusions quant à l'origine de l'événement ne sont tirées que si des indices supplémentaires viennent étayer une telle attribution.

Domaines d'application typiques

•Reconstitution des modifications apportées aux fichiers et aux répertoires
•Analyse des données supprimées ou déplacées
•Limitation temporelle des activités du système de fichiers
•Réponse aux incidents et analyses de logiciels malveillants
•Enquête sur des allégations de manipulation
•Corrélation avec les artefacts APFS et les artefacts système
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde sécurisée effectuée, les structures FSEvents existantes sont identifiées et leur exploitabilité technique est vérifiée. Les données d'événements sont décodées, les chemins d'accès et les indicateurs pertinents sont enregistrés, puis classés selon un ordre chronologique ou par événement clair et traçable.

Vient ensuite la mise en corrélation avec d'autres sources de données. À cette occasion, on vérifie expressément si les séries d'événements semblent complètes ou s'il existe des indices laissant supposer des lacunes ou des données d'événements qui n'existent plus. Seuls les liens techniquement fiables sont pris en compte dans l'évaluation.

En quoi cet artefact présente-t-il un intérêt sur le plan médico-légal ?

FSEvents permet de documenter efficacement les modifications apportées à de grandes hiérarchies de répertoires et fournit ainsi des traces qui ne sont plus immédiatement visibles dans le système de fichiers actuel. Cela rend ce mécanisme particulièrement intéressant pour la reconstitution des modifications.

Par ailleurs, FSEvents ne remplace pas entièrement la chronologie du système de fichiers. Apple décrit cette technologie comme un mécanisme de notification et de suivi des modifications ; sa granularité peut s'étendre jusqu'au niveau des répertoires. Les conclusions médico-légales doivent donc toujours être étayées par d'autres éléments de preuve.

Foire aux questions

Qu'est-ce qui distingue FSEvents ?+
FSEvents sert à signaler les modifications apportées aux hiérarchies de répertoires et peut fournir des événements de modification persistants.
FSEvents est-il en mesure de prouver chaque opération effectuée sur un fichier ?+
Non. Les données d'événement ne doivent pas être considérées comme un journal complet des actions de l'utilisateur et doivent être évaluées en tenant compte d'autres éléments.
FSEvents peut-il aider en cas de fichiers supprimés ?+
Oui, les événements existants peuvent fournir des indications sur des chemins d'accès ou des modifications antérieurs, même si le fichier concerné n'existe plus actuellement.
Est-il possible d'identifier l'utilisateur à partir d'une entrée FSEvents ?+
Pas uniquement à partir de cet événement. Une attribution d'utilisateur nécessite des indices supplémentaires fiables.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle des événements du système de fichiers (FSEvents) sur un système macOS ? LanCologne vous aide à réaliser une sauvegarde conforme aux exigences judiciaires et à reconstituer de manière traçable les modifications apportées au système de fichiers.

Nous contacter dès maintenant