Informatique légale · macOS

Analyse forensic de l'historique du shell macOS – Examen des activités du Terminal et des commandes

Sous macOS, la ligne de commande constitue un espace de travail et d'administration essentiel. Les versions récentes de macOS utilisent zsh par défaut pour les nouveaux utilisateurs ; les systèmes plus anciens et les comptes configurés individuellement peuvent utiliser d'autres shells. Selon le shell et la configuration, les fichiers d'historique peuvent contenir des informations sur les commandes saisies.

Demande sans engagement

L'historique du shell ne constitue pas un journal d'audit complet. Certaines commandes peuvent avoir été exclues de l'enregistrement, les fichiers d'historique peuvent avoir été modifiés ou supprimés, et des commandes peuvent avoir été exécutées via des scripts ou d'autres processus.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les configurations du shell propres à chaque utilisateur ainsi que les données d'historique existantes afin d'identifier les commandes, les chemins d'accès et les outils pertinents pour l'affaire. Les résultats sont mis en corrélation avec les modifications du système de fichiers, les journaux unifiés, les scripts et d'autres éléments du système.

Le shell utilisé et la configuration précise de son historique sont déterminés avant l'interprétation.

Domaines d'application typiques

•Reconstitution des ordres administratifs
•Réponse aux incidents et analyse des logiciels malveillants
•Analyse des commandes de suppression et de manipulation
•Évaluation de l'utilisation des scripts et des outils
•Enquêtes sur les délits d'initiés et les administrateurs
•Corrélation avec les événements liés aux fichiers et aux processus
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde effectuée, le shell de connexion, les fichiers de configuration et les fichiers d'historique existants du compte concerné sont identifiés. Les commandes sont analysées dans leur contexte et, dans la mesure où des informations temporelles sont techniquement disponibles, elles sont classées dans la chronologie globale.

Une entrée dans l'historique n'est pas automatiquement considérée comme la preuve que la commande a été exécutée avec succès. L'effet et le résultat d'une commande sont vérifiés à l'aide d'autres éléments.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

L'historique Shell peut s'avérer très révélateur en cas d'attaques techniques ou d'interventions administratives. Il permet de mettre en évidence des séquences de commandes concrètes qui, sans cela, ne pourraient être reconstituées qu'indirectement.

Leur caractère manipulable et leur éventuel caractère incomplet rendent impérative une corrélation indépendante.

Foire aux questions

Quel shell macOS utilise-t-il par défaut ?+
Dans les versions récentes de macOS, zsh est le shell par défaut pour les nouveaux comptes ; les comptes plus anciens ou personnalisés peuvent être configurés différemment.
Chaque commande du terminal est-elle enregistrée dans l'historique ?+
Non. Cela dépend du shell, de la configuration et du comportement de l'utilisateur.
Une entrée de l'historique indique-t-elle qu'une commande a été exécutée avec succès ?+
Non. La mise en œuvre et l'effet réels doivent être vérifiés à l'aide d'autres artefacts.
Est-il possible de supprimer ou de modifier l'historique du shell ?+
Oui. C'est pourquoi elle n'est pas évaluée isolément en tant que protocole d'audit complet.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle des activités du terminal et du shell sur un Mac ? LanCologne vous aide à réaliser une sauvegarde recevable devant les tribunaux et une reconstitution traçable.

Nous contacter dès maintenant