IT forenzika · macOS

Forenzička analiza nedavnih stavki – rekonstrukcija dokaza o nedavno korištenim predmetima

macOS pohranjuje informacije o nedavno korištenim stavkama u različitim sistemskim i aplikacijskim kontekstima. Apple izričito dokumentira upravljanje i ažuriranje izbornika 'Nedavno korištene stavke' za Launch Services. Ovisno o verziji macOS-a i aplikacije, dodatni korisnički artefakti mogu sadržavati reference na nedavno korištene aplikacije, dokumente ili druge resurse.

Upitajte bez obaveze

U području forenzike takvi tragovi mogu biti vrijedni pri rekonstrukciji aktivnosti korisnika. Međutim, unos u strukturi "Nedavni predmeti" mora se tumačiti u ispravnom tehničkom kontekstu: iako može ukazivati na korištenje, ne služi automatski kao dokaz tko je otvorio datoteku ili koja je specifična radnja izvršena s njom.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Pregledavamo postojeće skupove podataka vezane uz 'Nedavne stavke' i kategoriziramo aplikacije, dokumente, putanje i vremenske reference koje oni sadrže. Pri tome uzimamo u obzir razlike specifične za pojedine verzije i provjeravamo postoje li referencirani objekti još uvijek ili su ostavili ikakve daljnje tragove u datotečnom sustavu.

Rezultati su povezani s Launch Services, metapodacima datoteka, Spotlightom, FSEventsom, Unified Logs i artefaktima specifičnim za aplikaciju.

Tipična područja primjene

•Rekonstrukcija nedavno korištenih dokumenata
•Istraživanje obrazaca korištenja aplikacije
•Analiza aktivnosti korisnika
•Istrage o curenju dokumenata i podataka
•Korespondencija s vremenskim okvirima datotečnog sustava
•Provjera izbrisanih ili premještenih objekata
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Prvo se na forenzičkoj kopiji identificiraju sve strukture 'Nedavni predmeti' i iz njih se izdvajaju relevantne reference. Dokumentiraju se putanje, nazivi datoteka, reference na aplikacije i tehnički dostupne vremenske informacije.

Sustav zatim provjerava mogu li se referencirani objekti pronaći u trenutnom datotečnom sustavu, u snimkama ili u drugim artefaktima. Pouzdan zaključak o aktivnosti postiže se samo ako ukupni dokazi to podupiru.

Zašto je ovo područje istraživanja relevantno za forenziku?

'Nedavni stavci' mogu poslužiti kao izravna veza između korisničkog sučelja i datotečnog sustava. Posebno su korisni pri istraživanju kojih su dokumenata ili aplikacija mogli imati ulogu u određenom radnom kontekstu.

Međutim, podaci nisu nužno potpuni i mogu biti izmijenjeni ili izbrisani. Stoga ih treba smatrati dijelom lanca dokaza, a ne samostalnim dokazom.

Često postavljana pitanja

Što su nedavni predmeti?+
Ovo se odnosi na informacije sustava ili aplikacije o nedavno korištenim stavkama, kao što su aplikacije ili dokumenti.
Upravlja li Launch Services 'Nedavnim stavkama'?+
Apple navodi da Launch Services može upravljati i ažurirati sadržaj izbornika "Nedavni stavci".
Prikazuje li unos 'Nedavni stavci' tko je otvorio dokument?+
Ne samo po sebi. Korisnički kontekst i stvarna radnja moraju se procijeniti na temelju dodatnih naznaka.
Mogu li unosi upućivati na datoteke koje više ne postoje?+
To je moguće. Pouzdanost takvog nalaza mora se provjeriti uspoređivanjem s datotečnim sustavom i drugim artefaktima.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu analizu 'Recent Items' i zapisa o korištenju dokumenata? LanCologne vam može pomoći u osiguravanju dokaza koji zadovoljavaju pravne standarde i rekonstrukciji podataka na traguiv način.

Kontaktirajte nas odmah