Cet aperçu rassemble toutes les questions et réponses relatives à la criminalistique informatique sous macOS sur LanCologne : des Mac Apple Silicon et Intel au système de fichiers, en passant par le chiffrement et la configuration système, jusqu’aux traces liées au réseau, aux applications et aux données utilisateur, ainsi qu’aux outils de criminalistique utilisés. Cliquez sur une catégorie pour afficher les questions correspondantes.
Modèles matériels et méthodes de sauvegarde
- Sauvegarde à des fins d'analyse judiciaire d'un Mac équipé d'Apple Silicon
- Sauvegarde à des fins d'analyse judiciaire d'un Mac Intel sans puce T2
- Sauvegarde à des fins d'analyse judiciaire d'un Mac Intel équipé d'une puce de sécurité T2
- Sauvegarde et analyse médico-légale d'un iMac
- Sauvegarde et analyse médico-légale d'un Mac mini
- Sauvegarde et analyse médico-légales du Mac Studio
- Sauvegarde et analyse médico-légale d'un MacBook Pro
- Sauvegarde et analyse médico-légale d'un MacBook Air
- Sauvegarde et analyse médico-légales d'un Mac Pro
- Utilisation du Share Disk d'Apple Silicon à des fins d'analyse judiciaire
- Utilisation du mode « Target Disk » d'Intel à des fins d'analyse judiciaire
- Utilisation de macOS Recovery dans le cadre d'une sauvegarde à des fins d'expertise judiciaire
- Sauvegarde à des fins d'analyse judiciaire d'un Mac déverrouillé et en cours d'exécution
- Transférer les données d'un Mac éteint en toute sécurité
- Sauvegarde légale d'un Mac chiffré
- Sauvegarder des supports de données Apple externes de manière conforme aux exigences en matière de preuve
- Vérification des images légistes de Mac à l'aide de valeurs de hachage
- Documenter la chaîne de conservation des éléments de preuve Mac
- Réduire au minimum les accès en écriture lors des analyses sur Mac
Outils et méthodologie de criminalistique
- Distinguer le « Mac-Triage » de l'analyse complète en matière de criminalistique
- Effectuer l'acquisition Mac avec SUMURI RECON ITR
- Effectuer un triage Mac avec SUMURI RECON ITR
- Analyser des preuves macOS avec SUMURI RECON LAB
- Analyser les métadonnées étendues d'Apple avec RECON LAB
- Analyser les données APFS à l'aide de Belkasoft X
- Corréler les chronologies macOS avec Belkasoft X
- Analyser en profondeur les fichiers APFS à l'aide de X-Ways Forensics
- Analyser les données supprimées sur Mac avec X-Ways Forensics
- Utiliser X-Tensions pour des analyses spécialisées sur Mac
- Vérifier les résultats obtenus sur Mac à l'aide de plusieurs outils d'analyse judiciaire
- Utiliser ses propres outils pour les artefacts macOS rares
- Corréler les journaux unifiés à l'aide de vos propres outils
- Créer une chronologie macOS complète à partir de plusieurs éléments
- Détecter les erreurs d'analyse et les faux positifs dans l'analyse judiciaire sur Mac
- Garantir la reproductibilité d'un examen Mac
- Documenter l'analyse judiciaire sous macOS de manière à satisfaire aux exigences des tribunaux
- Pourquoi l'analyse judiciaire sur Mac nécessite plusieurs outils et une vérification manuelle
Système de fichiers, chiffrement et sauvegarde à des fins d'expertise judiciaire
- Analyse médico-légale du système de fichiers APFS – Les fondements des enquêtes modernes sous macOS
- Analyse médico-légale des instantanés APFS – examen des états antérieurs du système de fichiers
- Analyse judiciaire des groupes de volumes APFS – Attribuer correctement les données système et utilisateur
- Analyse judiciaire de FileVault – Évaluation de l'état du chiffrement et des possibilités d'accès
- Analyse médico-légale de la « Secure Enclave » – Évaluer correctement les mécanismes de sécurité liés au matériel
- Analyse médico-légale des événements FSEvents – Reconstitution des modifications apportées au système de fichiers sous macOS
- Analyse forensic des instantanés Time Machine – Examen des états antérieurs des fichiers sous macOS
- Analyse forensic de la base de données KnowledgeC sous macOS
- Analyse forensic des métadonnées Spotlight – Exploitation des informations indexées sur les fichiers et leur contenu
- Vérifier manuellement les métadonnées APFS
- Analyse médico-légale des volumes externes sous macOS
- Analyse médico-légale des images disque macOS
- Analyse approfondie et corrélation des données d'historique FSEvents sous macOS à des fins d'investigation
- Analyse médico-légale des attributs étendus de macOS
Réseau et communication
- Analyse approfondie des services de localisation – Évaluation technique des données de localisation d'un Mac
- Analyser de manière scientifique les lieux importants – Classer correctement les lieux importants sous macOS
- Analyse forensic des réseaux Wi-Fi sous macOS – Reconstitution des connexions réseau d'un Mac
- Analyse forensic du Bluetooth sous macOS – classification technique des appareils appairés et détectés
- Analyse forensic des extensions réseau sous macOS
- Analyse médico-légale du pare-feu macOS
- Analyse médico-légale des artefacts VPN sous macOS
- Analyse forensic de la configuration DNS et proxy sous macOS
- Analyse forensic du partage d'écran et de la gestion à distance sous macOS
- Analyse forensic d'iCloud Drive sous macOS
- Analyse médico-légale d'AirDrop sous macOS
- Analyse approfondie des fonctionnalités Handoff et Continuity sous macOS
- Analyse forensic du fichier hosts sous macOS
- Analyse forensic des interfaces réseau sous macOS
- Analyse médico-légale des artefacts DHCP sous macOS
- Classification forensic des traces ARP et Neighbor sous macOS
- Analyse médico-légale des imprimantes et du système d'impression sous macOS
- Analyse forensic des artefacts CUPS sous macOS
Configuration du système et de la sécurité
- Analyse forensic des journaux unifiés de macOS – Reconstitution des événements et des activités du système
- Analyse approfondie des LaunchAgents et des LaunchDaemons – Étude de la persistance sous macOS
- Analyse forensic des éléments de connexion et des services d'arrière-plan – Reconstitution des lancements automatiques de programmes
- Valider manuellement les artefacts SQLite, WAL et SHM
- Valider manuellement les données Plist et NSKeyedArchiver
- Analyse forensic des Gatekeepers et de la quarantaine – Évaluation de l'origine et de l'exécution des logiciels
- Analyse forensic de XProtect – Évaluation technique de la protection intégrée d'Apple contre les logiciels malveillants
- Analyse forensic des autorisations de confidentialité sous macOS – Évaluation des accès des applications aux ressources protégées
- Analyse approfondie des services de lancement – Évaluation des associations d'applications et de documents sous macOS
- Analyse approfondie des rapports de plantage sous macOS – Étude des plantages de processus et des informations de diagnostic
- Analyse forensic des fichiers Plist sous macOS – Évaluation des configurations et des états
- Analyse judiciaire des bases de données SQLite sous macOS – Évaluation conjointe de la base de données, du WAL et du SHM
- Analyse médico-légale du trousseau de clés macOS
- Analyse médico-légale des certificats et des paramètres de confiance sous macOS
- Analyse médico-légale des profils de configuration macOS
- Analyse médico-légale des artefacts MDM sous macOS
- Analyse médico-légale des extensions système macOS
- Analyse médico-légale des extensions du noyau macOS
- Analyse médico-légale de la base de données TCC sous macOS
- Analyse forensic de la base de données de confidentialité de macOS relative aux autorisations des applications
- Analyse forensic de la base de données des événements de quarantaine sous macOS
- Analyse forensic de l'origine des téléchargements sous macOS et de la provenance des fichiers « WhereFrom »
Terminal, shell, scripts et installation de logiciels
- Analyse médico-légale des artefacts du Terminal sous macOS
- Analyse médico-légale des artefacts Zsh sous macOS
- Analyse médico-légale des artefacts Bash sous macOS
- Analyse médico-légale des artefacts Sudo sous macOS
- Analyse forensic de Cron et des tâches périodiques sous macOS
- Analyse forensic des paquets d'installation macOS
- Analyser de manière approfondie l'historique des installations de macOS
- Analyse médico-légale des artefacts liés aux mises à jour logicielles macOS
- Analyse médico-légale des artefacts de l'App Store sur macOS
- Analyse forensic des artefacts Homebrew sous macOS
- Analyse médico-légale des environnements Python sous macOS
- Analyse médico-légale d'Automator et des raccourcis clavier sous macOS
Applications, Finder et données utilisateur
- Analyse approfondie de Screen Time : évaluer l'utilisation des applications et des sites web sous macOS
- Analyse médico-légale des éléments récents – Reconstitution des indices relatifs aux objets récemment utilisés
- Analyse médico-légale des comptes utilisateurs sous macOS – Comprendre les structures des utilisateurs et des comptes
- Analyse médico-légale des artefacts de connexion sous macOS – Reconstitution des processus de connexion et de session
- Analyse approfondie de l'historique de Safari – Reconstitution des activités Web sous macOS
- Analyse forensic des téléchargements de Safari – Examiner l'origine des fichiers téléchargés
- Analyse médico-légale de la corbeille sous macOS – examen des fichiers supprimés et déplacés
- Analyse médico-légale des périphériques USB sous macOS – examination des périphériques externes et des supports de données
- Analyse médico-légale de l'application Messages sous macOS
- Analyse judiciaire de Mail sous macOS
- Analyse médico-légale du calendrier macOS
- Analyse médico-légale des contacts macOS
- Analyse médico-légale des notes macOS
- Analyse forensic des bundles d'applications macOS et de la signature de code
- Analyse médico-légale des artefacts du Finder sous macOS
- Analyse médico-légale des fichiers .DS_Store sous macOS
- Analyse médico-légale des fichiers d'alias sous macOS
- Analyse médico-légale des signets macOS et des signets de sécurité
Autres questions
- Analyse forensic de l'historique du shell macOS – Examen des activités du Terminal et des commandes
- Analyse forensic de macOS via SSH – Examen des traces de connexion à distance et des clés
- Analyse forensic des conteneurs de sandbox des applications macOS
- Analyse médico-légale des conteneurs de groupe sous macOS
- Analyse médico-légale des préférences macOS et CFPreferences
- Analyse médico-légale des artefacts NSUserDefaults sous macOS
- Analyse médico-légale de l'état enregistré des applications sous macOS
- Analyse médico-légale des artefacts de macOS Resume
- Analyse médico-légale des artefacts QuickLook sous macOS
- Analyse médico-légale des caches de vignettes et d'aperçus sous macOS
- Analyse médico-légale du Centre de notifications de macOS