IT-Forensik · macOS
Recent Items forensisch analysieren – Hinweise auf zuletzt verwendete Objekte rekonstruieren
macOS führt in verschiedenen System- und Anwendungskontexten Informationen zu zuletzt verwendeten Objekten. Apple dokumentiert für Launch Services ausdrücklich die Verwaltung und Aktualisierung des Recent-Items-Menüs. Je nach macOS-Version und Anwendung können zusätzliche benutzerbezogene Artefakte Hinweise auf zuletzt verwendete Anwendungen, Dokumente oder andere Ressourcen enthalten.
Für die Forensik können solche Spuren bei der Rekonstruktion von Benutzeraktivitäten wertvoll sein. Ein Eintrag in einer Recent-Items-Struktur muss jedoch technisch eingeordnet werden: Er kann einen Nutzungsbezug anzeigen, ersetzt aber nicht automatisch den Nachweis, wer das Objekt geöffnet hat oder welche konkrete Aktion damit durchgeführt wurde.
Pourquoi LanCologne ?
Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.
Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.
Nos services
Wir untersuchen vorhandene Recent-Items-bezogene Datenbestände und ordnen referenzierte Anwendungen, Dokumente, Pfade und Zeitbezüge ein. Dabei berücksichtigen wir versionsabhängige Unterschiede und prüfen, ob die referenzierten Objekte noch existieren oder weitere Dateisystemspuren hinterlassen haben.
Die Ergebnisse werden mit Launch Services, Dateimetadaten, Spotlight, FSEvents, Unified Logs und anwendungsbezogenen Artefakten korreliert.
Domaines d'application typiques
So läuft die forensische Untersuchung ab
Zunächst werden auf der forensischen Kopie vorhandene Recent-Items-Strukturen ermittelt und relevante Referenzen extrahiert. Pfade, Dateinamen, Anwendungsbezüge und technisch verfügbare Zeitinformationen werden dokumentiert.
Anschließend wird geprüft, ob die referenzierten Objekte im aktuellen Dateisystem, in Snapshots oder in weiteren Artefakten wiederzufinden sind. Eine belastbare Aktivitätsaussage wird nur getroffen, wenn die Gesamtspurenlage dies unterstützt.
En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?
Recent Items können eine direkte Brücke zwischen Benutzeroberfläche und Dateisystem bilden. Sie sind besonders hilfreich, wenn untersucht werden soll, welche Dokumente oder Anwendungen in einem bestimmten Arbeitskontext eine Rolle gespielt haben könnten.
Die Daten sind jedoch nicht zwingend vollständig und können verändert oder gelöscht werden. Deshalb sind sie als Teil einer Artefaktkette und nicht als alleiniger Beweis zu bewerten.
Foire aux questions
🔗 Sujets connexes
LanCologne – macOS-Forensik in Köln
Sie benötigen eine professionelle Untersuchung von Recent-Items- und Dokumentnutzungsspuren? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren Rekonstruktion.