IT forenzika · macOS

Forenzička analiza macOS SSH-a – istraživanje udaljenog prijave i tragova ključeva

macOS može omogućiti SSH pristup Macu putem značajke „Daljinski prijem“. Nadalje, Mac se može koristiti i kao SSH klijent. Kao rezultat toga, i konfiguracije na strani poslužitelja i korisnički artefakti klijenta, poput ključeva, konfiguracijskih datoteka ili poznatih poslužitelja, mogu biti forenzički relevantni.

Upitajte bez obaveze

Prisutnost SSH ključa ili poznatog hosta ne dokazuje automatski da je veza uspostavljena tijekom razdoblja pod istragom. Konfiguraciju, odnos povjerenja i stvarnu sesiju potrebno je procijeniti zasebno.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Istražujemo sistemske i korisničke artefakte povezane sa SSH-om, uključujući postojeće konfiguracije, metapodatke o ključnom materijalu, poznate hostove i – gdje je dostupno – zabilježene događaje udaljene prijave. Privatni ključevi se obrađuju na siguran način i ne koriste se nepotrebno.

Tvrdnje o vezi povezane su s ujednačenim zapisima, mrežnim i artefaktima prijave.

Tipična područja primjene

•Istraga o mogućem daljinskom pristupu
•Odgovor na incidente i analiza proboja
•Provjera SSH ključeva i konfiguracija
•Analiza dobro poznatih daljinskih sustava
•Rekonstrukcija daljinskog administrativnog pristupa
•Korrelaција s događajima prijave i mrežnim događajima
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Nakon dovršetka sigurnosne kopije, SSH konfiguracije na strani poslužitelja i klijenta pregledavaju se odvojeno. Korisnički .ssh direktoriji se katalogiziraju, relevantne datoteke se hashaju, a analiza se provodi isključivo na radnim kopijama.

Dodatni zapisi i mrežni tragovi koriste se za provjeru vremenskog trajanja stvarnih sesija. Sama unosa ključa ili hosta ne smatra se dokazom sesije.

Zašto je ovo područje istraživanja relevantno za forenziku?

SSH može biti legitiman administrativni kanal ili dio neovlaštenog daljinskog pristupa. Stoga je osobito važno jasno tehnički razlikovati omogućene funkcije, dostupna sredstva pristupa i veze koje se zaista mogu provjeriti.

U scenarijima odgovora na incidente, korelacija zapisa prijava, shellova i mreže može rekonstruirati udaljenu aktivnost s mnogo većom preciznošću.

Često postavljana pitanja

Može li macOS omogućiti SSH pristup?+
Da. SSH pristup na Macu može se omogućiti putem udaljenog prijavljivanja.
Znači li unos u `known_hosts` trenutnu vezu?+
Ne. Isprva prikazuje spremljenu referencu na domaćina i može potjecati iz ranijeg razdoblja.
Dokazuje li postojeći SSH ključ da je korišten?+
Ne. Za upotrebu i određene sesije potrebni su dodatni prateći dokumenti.
Jesu li SSH artefakti relevantni za odgovor na incidente?+
Da. Mogu pružiti važne kontekstualne informacije pri istraživanju legitimnih ili neovlaštenih pokušaja daljinskog pristupa.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu analizu SSH-a i tragova udaljene prijave na Macu? LanCologne vam može pomoći u prikupljanju dokaza koji zadovoljavaju pravne standarde i tehničku rekonstrukciju.

Kontaktirajte nas odmah