IT forenzika · macOS
Forenzička analiza Spotlight metapodataka – Procjena informacija o indeksiranim datotekama i sadržaju
Spotlight je tehnologija pretraživanja u macOS-u koja se koristi za indeksiranje i brzo lociranje datoteka i drugog sadržaja. Ovisno o vrsti datoteke, aplikaciji, verziji macOS-a i statusu indeksa, mogu se obraditi metapodaci koji se odnose na datoteke i sadržaj. Za forenzičke istrage postojeći Spotlight podaci stoga mogu poslužiti kao dodatni izvor za identifikaciju i klasifikaciju relevantnih stavki.
Međutim, Spotlight indeks nije potpuni prikaz datotečnog sustava. Sadržaj može biti isključen, još nije indeksiran, pod rekonstrukcijom ili više nije prisutan u indeksu. Stoga forenzički zaključci uvijek moraju biti provjereni na stvarnom datotečnom sustavu i drugim artefaktima.
Zašto LanCologne?
Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.
Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.
Naše usluge
Identificiramo postojeće skupove podataka povezanih sa Spotlightom i procjenjujemo tehnički dostupne metapodatke od slučaja do slučaja. Pritom ispitujemo, između ostalog, reference na staze, svojstva datoteka, bilješke o sadržaju i vremenske informacije, pod uvjetom da su prisutne u određenom indeksu i da se mogu pouzdano protumačiti.
Podudaranja su povezana s metapodacima APFS datoteka, FSEvents, Unified Logs i artefaktima specifičnim za aplikaciju. Podudaranje u Spotlightu samo po sebi ne ukazuje ni na korisničku radnju ni na trenutno postojanje datoteke.
Tipična područja primjene
Ovo je način na koji se provodi forenzička istraga.
Nakon što su podaci sigurno kopirani, provodi se provjera kako bi se utvrdilo koji su skupovi podataka Spotlight prisutni na sustavu pod istragom i mogu li se analizirati. Relevantni metapodaci se izdvajaju, normaliziraju i filtriraju prema specifičnom istraživačkom pitanju.
Rezultati se zatim uspoređuju s izvornim datotekama, postojećim unosima datotečnog sustava i ostalim tragovima macOS-a. Pri tome se posebna pažnja posvećuje svim prazninama u indeksu i promjenama Spotlight indeksa. Samo provjerljive korelacije dokumentiraju se kao forenzički nalazi.
Zašto je ovaj artefakt forenzički značajan?
Spotlight može pružiti informacije o datotekama i sadržaju koje korisno nadopunjuju tradicionalnu analizu sustava datoteka. Posebno pri radu s velikim skupovima podataka, struktura indeksa može ukazati na to koji su objekti relevantni za određeni vremenski period ili određeno istraživačko pitanje.
Međutim, pouzdanost rezultata ovisi o stanju indeksa. Spotlight je usluga pretraživanja i indeksiranja, a ne nepropusni zapisnik aktivnosti korisnika. Stoga nedostatak rezultata ne dokazuje odsutnost datoteke ili prethodne aktivnosti korisnika.
Često postavljana pitanja
LanCologne – macOS forenzika u Kölnu
Trebate li profesionalnu analizu Spotlight metapodataka s macOS sustava? LanCologne vam može pomoći s forenzički valjanom sigurnosnom kopijom i analizom indeksiranih datoteka i informacija o sadržaju te njihovom praćenjom.