IT forenzika · macOS

Forenzička analiza Gatekeepera i karantene – procjena podrijetla i izvršenja softvera

Gatekeeper je ključni sigurnosni mehanizam u macOS-u. Za softver preuzet s interneta macOS provjerava, između ostalog, potpis ID-a programera, ovjerenost i integritet, ovisno o izvoru i konfiguraciji sustava. Apple također objašnjava da Gatekeeper traži od korisnika autorizaciju prije nego što se preuzeti softver prvi put otvori i prati podrijetlo datoteka koje stvara preuzeti softver.

Upitajte bez obaveze

U području forenzike, informacije o Gatekeeperu i karanteni mogu pružiti važne naznake o podrijetlu i rukovanju preuzetim programima ili datotekama. Međutim, one ne čine potpuni zapisnik preuzimanja ili izvođenja. Nedostatak informacija o karanteni ne dokazuje da datoteka nikada nije potekla s interneta ili da nikada nije izvršena.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Pregledavamo postojeće informacije o karanteni i Gatekeeperu u kontekstu zahvaćenih datoteka i aplikacija. Pri tome uzimamo u obzir, između ostalog, proširene atribute datoteka, status potpisivanja koda i ovjere, metapodatke datoteka, strukturu aplikacije i druge dostupne sistemske tragove.

U slučaju sumnjivog softvera provodi se korelacija s ujednačenim zapisima (Unified Logs), mehanizmima pokretanja i održavanja, XProtect kontekstom te artefaktima preglednika i preuzimanja, u mjeri u kojoj su dostupni u konkretnom slučaju. Cilj je provesti tehnički provjerljivu procjenu podrijetla i izvođenja softvera bez prekomjernog tumačenja pojedinačnih tragova.

Tipična područja primjene

Ovo je način na koji se provodi forenzička istraga.

Nakon što je sigurnosna kopija dovršena, relevantne datoteke i aplikacije identificiraju se i provjeravaju postoje li metapodaci o karanteni i sigurnosti. Potpisivanje koda, ovjeravanje i integritet ocjenjuju se odvojeno od samog statusa karantene. Potencijalni izvori preuzimanja i vremenske korelacije potom se unakrsno uspoređuju s drugim artefaktima.

Potrebna je posebna opreznost kada su u pitanju negativni nalazi: informacije o karanteni mogu biti izostavljene ili izmijenjene, a ne ostavlja svaki put prijenosa identične tragove. Iz tog razloga dokumentira se samo ono što se zapravo može provjeriti na temelju dostupnih podataka.

Zašto je ovo područje istraživanja relevantno za forenziku?

Gatekeeper i karantena datoteka čine važan dio arhitekture sigurnosti macOS aplikacija. Apple navodi da Gatekeeper provjerava preuzeti softver i može zahtijevati odobrenje korisnika prije nego što se prvi put otvori.

Iz forenzičke perspektive ovo može pomoći utvrditi odakle je softver došao i kako ga je macOS tretirao s sigurnosnog stajališta. Međutim, ti se podaci moraju uskladiti s tragovima preuzimanja, datoteka i izvođenja prije nego što se mogu donijeti zaključci o specifičnim radnjama korisnika.

Često postavljana pitanja

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu analizu Gatekeepera, karantene ili podrijetla macOS datoteke? LanCologne vam može pomoći osigurati da su vaši podaci prihvatljivi na sudu i pružiti tehnički utemeljenu klasifikaciju.

Kontaktirajte nas odmah