IT forenzika · macOS

Forenzička analiza APFS datotečnog sustava – temelj modernih macOS istraga

Apple File System (APFS) zadani je datotečni sustav za moderne Mac sustave od macOS-a 10.13. Razvijen je za flash i SSD pohranu te podržava, između ostalog, metapodatke copy-on-write, dijeljenje prostora, klonove, snimke stanja i enkripciju. Iz forenzičke perspektive, razumijevanje strukture APFS-a stoga je neophodan preduvjet za pravilno ispitivanje suvremenih macOS sustava.

Upitajte bez obaveze

Na pokretnim Mac računalima, APFS spremnik se od macOS-a 10.15 obično sastojao od nekoliko logički povezanih volumena. Osim sistema i podatkovnih volumena, mogu postojati i pre-boot, oporavak i VM volumeni, između ostalih. Od macOS-a 11 operativni sustav se rutinski pokreće sa snimke sustavnog volumena. Ova arhitektura mora se uzeti u obzir tijekom izrade sigurnosnih kopija i analize, jer se podaci koje korisnik može mijenjati i zaštićene sistemske komponente više ne pohranjuju zajedno u jednom tradicionalnom volumenu datotečnog sustava.

Analiza APFS-a nije ograničena na pojedinačne datoteke. Strukture spremnika i volumena, uloge volumena, snimke, metapodaci datotečnog sustava, vremenski pečati i povezanost s drugim macOS artefaktima sve se zajedno procjenjuju. U slučaju šifriranih sustava, potrebno je uzeti u obzir i FileVault, mehanizme ključeva vezanih uz Secure Enclave te specifičnu generaciju uređaja. Izjave o oporavku izbrisanog sadržaja moraju se davati s oprezom i od slučaja do slučaja, osobito u slučaju SSD-ova, zbog šifriranja, TRIM-a i područja pohrane koja su već prepisana.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje macOS sustava uvijek se provodi isključivo na forenzičkoj kopiji ili forenzičkoj slici. Izvorni dokazi ostaju nepromijenjeni i pohranjuju se na način koji očuva njihov dokazni integritet.

Naše usluge

Analiziramo APFS kontejnere i volumene, uloge volumena, metapodatke datotečnog sustava, postojeće APFS snimke i logički odnos između sustavnog volumena i volumena podataka. Ovisno o uređaju, verziji macOS-a i stanju podataka, relevantne strukture koreliraju se s podacima korisnika, sustava, aplikacija i zapisnika. Kada je FileVault aktivan, prvo procjenjujemo je li i pod kojim zakonski i tehnički dopuštenim uvjetima moguć pristup šifriranim korisničkim podacima. Cilj je provesti praćenu tehničku rekonstrukciju na temelju artefakata koji zaista postoje.

Tipična područja primjene

•Rekonstrukcija aktivnosti datoteka i korisnika
•Istraživanje izbrisanih ili premještenih datoteka
•Analiza APFS snimaka
•Procjena volumena sustava i podataka
•Optužbe za krađu i namještanje podataka
•Odgovor na incidente na macOS sustavima
•Sudski i nerasudski vještački nalazi

Na ovaj način se provodi forenzički pregled APFS-a.

Nakon što je sigurnosno osiguran medij za pohranu ili tehnički pristupačan izvor forenzičkih podataka, prvo se utvrđuje APFS struktura. To uključuje dokumentiranje spremnika, volumena, uloga volumena, statusa šifriranja i svih postojećih snimaka. Relevantne informacije o datotečnom sustavu zatim se koreliraju s drugim macOS artefaktima. Ovisno o modelu Maca i konfiguraciji sigurnosti, metoda prikupljanja podataka može znatno varirati; sustavi Apple Silicon i T2, osobito, zahtijevaju procjenu dostupnih opcija pristupa prije nego što se korisnički podaci mogu pregledati. Svi koraci istrage i tehnička ograničenja dokumentiraju se na transparentan način.

Zašto je analiza APFS-a toliko važna?

Na suvremenim Mac sustavima APFS čini tehničku osnovu za pohranu podataka operativnog sustava, korisnika i aplikacija. Podjela na grupe volumena, snimke i moderni mehanizmi šifriranja značajno se razlikuje od starijih HFS+ sustava. Pogrešna interpretacija ovih struktura može dovesti do netočnih zaključaka o vremenu nastanka ili sadržaju. Iz tog razloga artefakti APFS-a ne analiziraju se izolirano, već se uvijek ocjenjuju zajedno s relevantnim macOS zapisima, korisničkim artefaktima i podacima aplikacija.

Često postavljana pitanja

Što je APFS?+
APFS je kratica za Apple File System i od macOS-a 10.13 predstavlja zadani datotečni sustav za moderne Mac sustave.
Promatra li se izvorni sustav?+
Ne. Istraga se uvijek provodi na forenzičkoj kopiji, forenzičkoj slici ili forenzičkom izvoru podataka koji je prikupljen na način koji očuva njegov dokazni integritet.
Mogu li izbrisane datoteke na APFS-u uvijek biti oporavljene?+
Ne. Dostupne opcije ovise, između ostalog, o enkripciji, vrsti uređaja, SSD TRIM-u, prepravljanju podataka i specifičnoj APFS strukturi. Obnova podataka može biti ozbiljno ograničena ili nemoguća, osobito na modernim, šifriranim SSD sustavima.
Koja je važnost APFS snimaka?+
Snapshoti su samo za čitanje stanja APFS volumena u određenom trenutku. Gdje su dostupni odgovarajući snapshoti, oni mogu pružiti dodatne informacije za rekonstrukciju vremenske crte i sadržaja.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu forenzičku analizu Mac sustava ili APFS volumena? LanCologne vam može pomoći u pravno prihvatljivom očuvanju digitalnih dokaza i u tragabilnoj analizi relevantnih macOS i APFS artefakata.

Kontaktirajte nas odmah