IT forenzika · macOS
Forenzička analiza snimaka Time Machinea – ispitivanje prethodnih stanja datoteka na macOS-u
Time Machine može izraditi lokalne snimke pokretačkog diska na Mac računalima formatiranim s APFS-om. Apple navodi da se one izrađuju otprilike svakih sat vremena i obično se zadržavaju oko 24 sata. Osim toga, snimka posljednje uspješne Time Machine sigurnosne kopije može ostati sve dok ne bude potreban slobodan prostor za pohranu; od macOS High Sierra nadalje, dodatna se snimka također izrađuje prije instalacije macOS Update.
U području forenzike takvi lokalni snimci mogu omogućiti pristup prethodnim stanjima ili verzijama datoteka. Međutim, njihovo postojanje i sadržaj nisu zajamčeni. Snimci se mogu automatski izbrisati, osobito kada je potreban prostor za pohranu.
Zašto LanCologne?
Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.
Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.
Naše usluge
Identificiramo postojeće lokalne Time Machine snimke, bilježimo njihove vremenske oznake i dodjeljujemo ih relevantnom APFS volumenu. Gdje je tehnički izvedivo, uspoređujemo relevantne datoteke i direktorije s trenutnim skupom podataka i ostalim postojećim snimkama.
Studija jasno razlikuje lokalne APFS snimke i vanjske ili mrežne Time Machine sigurnosne kopije. Zaključci se donose samo na temelju skupova podataka koji zaista postoje i bili su analizirani.
Tipična područja primjene
Ovo je način na koji se provodi forenzička istraga.
Kad se podaci pouzdano snime, postojeći APFS snimci stanja katalogiziraju se i provjeravaju mogu li se dodijeliti Time Machineu ili nekoj drugoj sustavnoj svrsi. Relevantni snimci stanja kronološki se poredaju, a zatim uspoređuju sa trenutnim stanjem datotečnog sustava.
Ovo uzima u obzir činjenicu da se lokalne Time Machine snimke mogu automatski upravljati i ukloniti. Nedostajuća snimka stoga nije dokaz da Time Machine u određenom trenutku nije bio aktivan. Rezultati su korelirani s APFS metapodacima, FSEvents i ostalim macOS artefaktima.
Zašto je ovaj artefakt forenzički značajan?
Snimke Time Machinea na lokalnom disku mogu pružiti raniju verziju datoteka, čak i ako vanjski volumen za sigurnosne kopije trenutno nije dostupan. To znači da u odgovarajućim slučajevima mogu poslužiti kao dodatni izvor povijesnih podataka.
Njihova forenzička vrijednost ovisi o stvarnoj dostupnosti snimaka stanja sustava i razdoblju koje je predmet istrage. Ne predstavljaju beskonačno sveobuhvatan zapisnik i ne smiju se izjednačavati s trajnom, vanjskom sigurnosnom kopijom ("vremenskom mašinom").
Često postavljana pitanja
🔗 Povezane teme
LanCologne – macOS forenzika u Kölnu
Trebate li profesionalnu analizu postojećih Time Machine snimaka? LanCologne vam može pomoći u izradi prihvatljivih dokaza i u praćenoj analizi prethodnih stanja datoteka.