IT forenzika · macOS

Forenzička analiza kante za smeće na macOS-u – ispitivanje izbrisanih i premještenih datoteka

Kada se datoteka premjesti u Kantu za smeće, ona se ne uklanja nužno fizički iz datotečnog sustava tijekom normalnog rada macOS-a. Stoga korisničke strukture Kante za smeće mogu sadržavati relevantne datoteke i metapodatke. Tek kada se Kanta za smeće isprazni ili kao rezultat drugih sustavnih procesa, mijenjaju se uvjeti za moguću obnovu.

Upitajte bez obaveze

Iz forenzičke perspektive potrebno je pomno razlikovati „premješteno u Korpu za smeće“, „ispraznjenu Korpu za smeće“ i „fizički prebrisano ili više ne može biti oporavljeno“. Ova stanja tehnički nisu ekvivalentna.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Istražujemo korisničke i, gdje je primjenjivo, volumenske strukture Kante za smeće za postojeće datoteke, direktorije i metapodatke. Nazivi datoteka, putanje, vremenski pečati i ostale informacije o datotečnom sustavu koreliraju se s FSEvents događajima, APFS snimkama i drugim tragovima aktivnosti.

Ako je kanta za smeće već ispraznjena, provodi se zasebna provjera kako bi se utvrdilo sadrže li drugi forenzički izvori još uvijek neke tragove ili podatke koji se mogu rekonstruirati.

Tipična područja primjene

•Istraga izbrisanih dokumenata
•Rekonstrukcija procesa brisanja
•Istrage o trgovanju povlaštenim informacijama i curenju podataka
•Pretraži datoteke koje su preostale u kanti za smeće
•Korespondencija s FSEvents i APFS snapshotima
•Provjera razdoblja brisanja i izmjena
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Nakon dovršetka sigurnosne kopije identificiraju se relevantni direktoriji Korpe za recikliranje za korisnički ili kontekst volumena koji se istražuje. Postojeći objekti se hashaju, dokumentiraju i analiziraju u kontekstu njihovog datotečnog sustava.

Nema garancija za oporavak nakon što je kanta za smeće ispraznjena. APFS, SSD Trim, šifriranje i naknadna upotreba mogu značajno utjecati na izglede za oporavak.

Zašto je ovo područje istraživanja relevantno za forenziku?

Kanta za smeće važan je izvor pri istraživanju koje je datoteke korisnik namjeravao izbrisati ili koji su se predmeti još uvijek nalazili prije nego što je ispraznjena.

Međutim, stavka u Korpi za smeće ne dokazuje automatski razlog njenog brisanja niti identitet osobe koja ju je izbrisala. Ta pitanja zahtijevaju dodatne artefakte korisnika i aktivnosti.

Često postavljana pitanja

Je li datoteka u kanti za smeće već trajno izbrisana?+
U normalnim okolnostima to u početku nije strogo potrebno. Nalazi se u kanti za smeće i često je još uvijek tamo prije nego što se kanta isprazni.
Može li se ispraznjena kanta za smeće uvijek vratiti?+
Ne. Posebno APFS, SSD Trim, enkripcija i daljnja upotreba mogu spriječiti oporavak.
Prikazuje li datoteka u Korpi tko ju je izbrisao?+
Ne samo samostalno. Također je potrebno uzeti u obzir kontekst korisnika i sesije.
Mogu li snimke pomoći s izbrisanim datotekama?+
Postojeći APFS ili Time Machine snimci mogu, u određenim slučajevima, sadržavati ranija stanja.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu istragu izbrisanih datoteka ili Kante za smeće na macOS-u? LanCologne vam može pomoći u forenzički valjanom oporavku podataka i tehnički robusnoj rekonstrukciji.

Kontaktirajte nas odmah