IT forenzika · macOS

Forenzička analiza APFS snimaka – ispitivanje prethodnih stanja datotečnog sustava

APFS podržava snimke kao samo za čitanje slike APFS volumena u određenom trenutku. Snapshotovi stoga mogu predstavljati prethodna stanja datotečnog sustava bez stvaranja potpune druge kopije svih podataka. macOS, između ostalog, koristi mehanizme snapshotova u vezi s Time Machineom i sistemskim funkcijama.

Upitajte bez obaveze

Postojeći snimci mogu biti izuzetno vrijedni za forenzičku analizu, jer su datoteke ili metapodaci još uvijek vidljivi u ranijem stanju. Međutim, snimak nije zajamčena arhiva: njegova dostupnost, trajanje i sadržaj ovise o načinu korištenja sustava, upravljanju pohranom i specifičnom mehanizmu korištenom za njegovo stvaranje.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Identificiramo postojeće APFS volumene i snimke, dokumentiramo nazive snimaka i tehnički dostupne vremenske oznake te uspoređujemo relevantna stanja datotečnog sustava međusobno.

Kada se bavimo specifičnim problemima, provjeravamo jesu li datoteke, direktoriji ili metapodaci prisutni na snimci stanja koji su izmijenjeni ili više nisu vidljivi u trenutnom stanju. Rezultati se koreliraju s FSEvents, Time Machineom i drugim artefaktima datotečnog sustava.

Tipična područja primjene

•Analiza prethodnih stanja datotečnog sustava
•Pretraži izmijenjene ili izbrisane datoteke
•Usporedba snimke i trenutnog volumena
•Odgovor na incidente i istrage o neovlaštenim zahvatima
•Ažuriranje vremenskih okvira datotečnog sustava
•Korespondencija s Time Machineom i FSEventsom
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Nakon što su podaci sigurno sigurnosno kopirani, inventariziraju se APFS spremnici, volumeni i postojeći snimci. Gdje je to moguće, relevantni se snimci analiziraju u načinu rada samo za čitanje i uspoređuju sa trenutnim stanjem datotečnog sustava.

U ovom procesu točno se dokumentira snimka iz koje proizlazi nalaz. Predmet prisutan na snimci ne tumači se, bez daljnje provjere, kao dokaz da je ostao nepromijenjen ili da je bio aktivno u upotrebi u drugom trenutku.

Zašto je ovo područje istraživanja relevantno za forenziku?

APFS snimke mogu otkriti stanja koja više nisu izravno prisutna u trenutnom datotečnom sustavu. To je osobito vrijedno u slučajevima brisanja, izmjena i istraga odgovora na incidente.

Međutim, njihova korisnost ovisi o određenom snimku. Nije svako vremensko razdoblje obuhvaćeno, a snapshot ne čuva sve izbrisane informacije.

Često postavljana pitanja

Što je APFS snimka?+
Snimka stanja APFS volumena samo za čitanje u određenom trenutku.
Može li snimka sadržavati izbrisane datoteke?+
Ako je datoteka postojala u trenutku kada je snimka stanja napravljena, pod pravim okolnostima i dalje bi mogla biti vidljiva.
Jesu li APFS snimke istog kao i potpuna sigurnosna kopija?+
Ne. Snimke i sigurnosne kopije služe različitim svrhama i imaju različite karakteristike zadržavanja i pohrane.
Može li se radnja korisnika dokazati samo na temelju snimke?+
Ne. Stanje datotečnog sustava mora biti povezano s vremenom, korisnikom i artefaktima aktivnosti.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu analizu postojećih APFS snimaka? LanCologne vam može pomoći u izradi pravno prihvatljivih sigurnosnih kopija i provođenju sljedivih usporedbi prethodnih stanja datotečnog sustava.

Kontaktirajte nas odmah