IT forenzika · macOS

Forenzička analiza povijesti naredbi u macOS-u – ispitivanje aktivnosti terminala i naredbi

Kratka naredbna linija je važno administrativno i radno okruženje u macOS-u. Modernije verzije macOS-a po zadanom koriste zsh za novo kreirane korisnike; stariji sustavi i pojedinačno konfigurirani računi mogu koristiti druge shellove. Ovisno o shellu i konfiguraciji, datoteke povijesti mogu sadržavati zapise o unesenim naredbama.

Upitajte bez obaveze

Povijest naredbi u shellu nije potpuni zapisnik revizije. Naredbe su mogle biti izostavljene iz dnevnika, datoteke povijesti su mogle biti izmijenjene ili izbrisane, a naredbe su mogle biti izvršene putem skripti ili drugih procesa.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Istražujemo korisničke konfiguracije shell-a i postojeće povijesne podatke o naredbama, putanjama i alatima relevantnim za slučaj. Rezultati se koreliraju s promjenama u sustavu datoteka, objedinjenim zapisima, skriptama i ostalim sustavnim artefaktima.

Ovojnica koja se koristi i njezina specifična konfiguracija povijesti određuju se prije interpretacije.

Tipična područja primjene

•Rekonstrukcija administrativnih naloga
•Odgovor na incidente i analiza zlonamjernog softvera
•Istraživanje naredbi za brisanje i manipulaciju
•Pregled upotrebe skripte i alata
•Istrage insajdera i administratora
•Korespondencija s događajima datoteka i procesa
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Nakon dovršetka sigurnosne kopije utvrđuju se prijavni shell, konfiguracijske datoteke i postojeće povijesne datoteke za odgovarajući račun. Naredbe se analiziraju u svom kontekstu i – pod uvjetom da su informacije o vremenskim oznakama tehnički dostupne – smještaju se u cjelokupnu vremensku crtu.

Zapis u povijesti se ne smatra automatski dokazom da je naredba uspješno izvršena. Utjecaj i rezultat naredbe provjeravaju se na temelju dodatnih artefakata.

Zašto je ovo područje istraživanja relevantno za forenziku?

Povijest naredbi može biti vrlo otkrivajuća u slučaju tehničkih napada ili administrativnih intervencija. Može otkriti specifične sekvence naredbi koje bi inače bilo moguće rekonstruirati samo neizravno.

Činjenica da se njima može manipulirati i da mogu biti nepotpuni čini neovisnu korelaciju apsolutno neophodnom.

Često postavljana pitanja

Koju školjku macOS koristi prema zadanim postavkama?+
U novijim verzijama macOS-a zsh je zadani shell za novoizrađene korisnike; stariji ili prilagođeni računi mogu biti konfigurirani drugačije.
Je li svaka naredba u terminalu spremljena u povijest?+
Ne. Ovisi o ljusci, konfiguraciji i ponašanju korisnika.
Prikazuje li zapis u povijesti je li naredba bila uspješna?+
Ne. Stvarno ponašanje i učinak moraju se testirati pomoću dodatnih artefakata.
Može li se povijest Shell-a izbrisati ili izmijeniti?+
Da. Zato se ne ocjenjuje izolirano kao potpuni zapisnik revizije.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu analizu aktivnosti terminala i naredbenog retka na Macu? LanCologne vam može pomoći u prikupljanju dokaza koji zadovoljavaju pravne standarde i u tragabilnoj rekonstrukciji događaja.

Kontaktirajte nas odmah