Informatique légale · macOS

Analyse médico-légale des artefacts de connexion sous macOS – Reconstitution des processus de connexion et de session

Les processus de connexion et de session constituent un repère temporel essentiel pour de nombreuses questions d'analyse judiciaire. macOS traite les connexions des utilisateurs via plusieurs composants système ; les informations pertinentes peuvent donc figurer dans différents journaux et artefacts système, en fonction de la version et de la période d'enquête.

Demande sans engagement

Une chronologie de connexion fiable ne doit pas être établie à partir d'une seule source. L'absence de certaines entrées peut s'expliquer par la conservation des données, la rotation des fichiers ou des mécanismes de journalisation différents.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les informations disponibles concernant les connexions et déconnexions des utilisateurs, les sessions et les événements système associés. Les horodatages pertinents sont mis en corrélation avec les comptes utilisateurs locaux, les journaux unifiés, les états du système et d'autres traces d'activité.

On distingue ici entre une authentification réussie, une session en cours et une action concrète de l'utilisateur.

Domaines d'application typiques

•Reconstitution des heures de connexion et de déconnexion
•Affectation des comptes utilisateurs aux sessions
•Réponse aux incidents et enquêtes internes
•Chronologie des activités liées aux fichiers et aux applications
•Vérification des périodes d'utilisation alléguées
•Corrélation de plusieurs sources de journaux macOS
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde sécurisée effectuée, les éléments liés à la connexion et à la session disponibles pour la version spécifique de macOS sont identifiés. Les horodatages sont normalisés et recoupés avec les comptes utilisateurs ainsi que les événements système.

Les contradictions ou les lacunes entre les sources de données ne sont pas gommées, mais documentées. Une session reflète dans un premier temps l'état technique d'un compte ; des artefacts supplémentaires sont nécessaires pour attribuer des actions spécifiques.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Les artefacts de connexion peuvent considérablement affiner la période couverte par une enquête. Ils permettent notamment d'associer des activités à un compte connecté ou à un état du système.

Ils ne constituent toutefois pas une preuve irréfutable de la présence humaine. Les processus automatisés, les sessions verrouillées et d'autres états du système doivent être pris en compte dans l'évaluation.

Foire aux questions

macOS permet-il de retracer les heures de connexion à des fins d'analyse judiciaire ?+
Selon la version et les données disponibles, divers éléments du système et des journaux peuvent fournir des indications sur les processus de connexion et de session.
Une session enregistrée atteste-t-elle d'une action concrète de l'utilisateur ?+
Non. Elle fournit dans un premier temps une référence technique à la séance.
Pourquoi corrèle-t-on plusieurs sources ?+
Car certaines sources de journaux peuvent être incomplètes, faire l'objet d'une rotation ou enregistrer des événements différents.
L'absence d'enregistrements de connexion prouve-t-elle qu'aucune connexion n'a eu lieu ?+
Non. Une telle conclusion négative n'est pas valable sans fondement technique supplémentaire.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une reconstitution professionnelle des procédures d'enregistrement et de session sur un Mac ? LanCologne vous aide à réaliser une sauvegarde juridiquement valable et à établir une corrélation temporelle.

Nous contacter dès maintenant