IT forenzika · macOS

Forenzička analiza macOS dozvola za privatnost – procjena pristupa aplikacija zaštićenim resursima

macOS štiti brojne osjetljive resurse putem dozvola za privatnost i sigurnost. Ovisno o verziji operativnog sustava i aplikaciji, to uključuje, na primjer, pristup datotekama u posebno zaštićenim područjima, kao i dozvole poput potpunog pristupa disku. Apple ističe da korisnici mogu provjeriti i promijeniti koje aplikacije imaju dopuštenje pristupa određenim zaštićenim sistemskim i korisničkim podacima u odjeljku „Privatnost i sigurnost“.

Upitajte bez obaveze

U forenzici macOS-a, ove se odluke o autorizaciji često razmatraju pod tehničkim krovnim pojmom TCC – Transparency, Consent, and Control. Postojeći podaci o autorizaciji mogu ukazati koja je aplikacija autorizirana ili joj je odbijen pristup određenom resursu. Međutim, to ne dokazuje automatski da je aplikacija doista koristila dotični resurs.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Pregledavamo zaštitu podataka i dozvole pristupa prisutne na forenzičkom izvoru podataka te ih dodjeljujemo relevantnim aplikacijama ili uslugama. Pri tome uzimamo u obzir identifikatore paketa, kontekst potpisivanja koda, povezivanje s korisnikom, kategoriju dozvola i druge tehnički dostupne informacije.

Nalazi autorizacije povezani su s instaliranim aplikacijama, objedinjenim zapisima, mehanizmima trajnosti, tragovima datotečnog sustava i, gdje je primjenjivo, artefaktima zlonamjernog softvera. U ovom se procesu odobrena autorizacija jasno razlikuje od stvarnog pristupa.

Tipična područja primjene

•Istraga o dalekosežnim dozvolama aplikacija
•Analize zlonamjernog softvera i odgovora na incidente
•Provjera pristupa cijelom disku i zaštićenim resursima
•Procjena sumnjivih aplikacija
•Rekonstrukcija konfiguracija zaštite podataka i pristupa
•Kovariancija s tragovima izvršavanja i datotečnog sustava
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Nakon što su dokazi sigurno sačuvani, utvrđuju se dostupni podaci o zaštiti podataka i autorizaciji za relevantnog korisnika ili sustav. Zatim se unosi analiziraju prema aplikaciji, usluzi i vrsti autorizacije te uspoređuju s instaliranim softverom, njegovim potpisom i informacijama o paketu.

Tumačenje uzima u obzir specifičnu verziju macOS-a, budući da je Apple tijekom godina proširio i izmijenio kategorije privatnosti i sistemske mehanizme. Autorizacija se ne smatra dokazom specifičnog pristupa; za to su potrebni dodatni artefakti izvršnog vremena ili sadržaja.

Zašto je ovo područje istraživanja relevantno za forenziku?

Dozvole za zaštitu podataka važne su iz forenzičke perspektive jer utječu na mogući pristup aplikacija visoko zaštićenim resursima. Neobično opsežan pristup može biti relevantan u istrazi zlonamjernog softvera ili zlouporabe, ali nije automatski sumnjiv: softver za sigurnosno kopiranje, sigurnost, upravljanje i forenzičku analizu može legitimno zahtijevati opsežna dopuštenja.

Robustna procjena stoga se može izvesti samo iz kombinacije autorizacije, upotrebe, potpisa, konteksta instalacije i stvarnih tragova aktivnosti.

Često postavljana pitanja

Što znači 'Puni pristup disku'?+
Pristup cijelom disku je macOS dozvola za privatnost koja aplikaciji omogućuje pristup posebno osjetljivim područjima podataka.
Dokazuje li odobrena dozvola da je aplikacija pristupila podacima?+
Ne. To služi prvenstveno za dokumentiranje mogućnosti pristupa ili ovlaštenja. Stvarni pristup zahtijeva dodatnu prateću dokumentaciju.
Jesu li opsežna dopuštenja automatski razlog za sumnju?+
Ne. Razne legitimne primjene zahtijevaju opsežna prava. Procjena mora uzeti u obzir svrhu i podrijetlo softvera.
Zašto je potrebno uzeti u obzir verziju macOS-a?+
Apple je proširio i izmijenio mehanizme privatnosti i sigurnosti u različitim verzijama macOS-a. Struktura i značenje postojećih podataka stoga se mogu razlikovati ovisno o verziji.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu analizu macOS dozvola za privatnost ili sumnjivih prava pristupa aplikacija? LanCologne vam može pomoći u prikupljanju dokaza koji će biti prihvaćeni na sudu i transparentnoj tehničkoj procjeni.

Kontaktirajte nas odmah