IT-Forensik · macOS

macOS Plist-Dateien forensisch analysieren – Konfigurationen und Zustände auswerten

Property Lists, kurz Plists, sind ein grundlegendes Datenformat in macOS und Apple-Anwendungen. Sie können Einstellungen, Zustände und weitere strukturierte Informationen enthalten und sowohl im XML- als auch im binären Property-List-Format vorliegen.

Demande sans engagement

Für die Forensik sind Plists häufig wertvolle Kontextquellen. Die Bedeutung einzelner Schlüssel ist jedoch an die jeweilige Anwendung, macOS-Version und Implementierung gebunden. Unbekannte Felder dürfen nicht allein aufgrund ihres Namens interpretiert werden.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Nos services

Wir identifizieren fallrelevante Property-List-Dateien und analysieren deren Struktur, Schlüssel und Werte im jeweiligen Anwendungs- oder Systemkontext. Binäre Plists werden fachgerecht dekodiert, ohne das Original zu verändern.

Zeit- und Zustandsinformationen werden mit Dateisystemmetadaten, Unified Logs und weiteren Artefakten abgeglichen.

Domaines d'application typiques

•Analyse von Benutzer- und Systemeinstellungen
•Untersuchung von Anwendungspräferenzen
•Malware- und Persistenzuntersuchungen
•Rekonstruktion von Konfigurationsänderungen
•Prüfung binärer und XML-basierter Plists
•Korrelation mit Dateisystem- und Logdaten
•Expertises judiciaires et extrajudiciaires

So läuft die forensische Untersuchung ab

Nach der Sicherung werden relevante Plists anhand der Fragestellung ausgewählt und strukturell ausgewertet. Datentypen, Schlüssel und Werte werden dokumentiert und – soweit erforderlich – mit Versionsinformationen der zugehörigen Anwendung verglichen.

Nicht dokumentierte Schlüssel werden nur dann inhaltlich bewertet, wenn ihre Bedeutung durch weitere technische Evidenz belastbar gestützt wird.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Plists sind in nahezu allen Bereichen der macOS-Forensik anzutreffen. Sie können wichtige Konfigurationszustände dokumentieren und andere Artefakte verständlich machen.

Gleichzeitig besteht ein hohes Risiko der Fehlinterpretation, wenn Schlüssel ohne Kenntnis der jeweiligen Softwareversion oder Implementierung gedeutet werden.

Foire aux questions

Was ist eine Plist-Datei?+
Eine Property List ist ein strukturiertes Datenformat, das macOS und viele Anwendungen für Einstellungen und andere Daten verwenden.
Gibt es binäre Plists?+
Ja. Property Lists können unter anderem im XML- und im binären Format vorliegen.
Kann jeder Plist-Schlüssel eindeutig interpretiert werden?+
Nein. Bedeutung und Verwendung hängen von Anwendung und Version ab.
Sind Plists allein ein Beweis für Benutzerhandlungen?+
Nicht grundsätzlich. Viele Werte beschreiben Konfiguration oder Zustand und müssen mit Aktivitätsartefakten korreliert werden.

LanCologne – macOS-Forensik in Köln

Sie benötigen eine professionelle Analyse von macOS Property-List-Dateien? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und technisch belastbaren Auswertung.

Nous contacter dès maintenant