IT forenzika · macOS
Forenzička analiza preuzimanja u Safariju – istraživanje podrijetla preuzetih datoteka
Preuzete datoteke često su od posebne važnosti u istragama zlonamjernog softvera, povreda podataka i aktivnosti korisnika. Safari upravlja preuzimanjima, a macOS također može pripojiti sigurnosne ili karantenske informacije preuzetim datotekama.
Za forenzičku analizu potrebno je razlikovati obavijest preglednika o preuzimanju, datoteku koja je zapravo spremljena i njezino naknadno izvršavanje. Nijedna od tih faza ne dokazuje automatski sljedeći korak.
Zašto LanCologne?
Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.
Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.
Naše usluge
Analiziramo informacije o preuzimanjima vezanim uz Safari i povezujemo ih s postojećim datotekama, metapodacima datoteka, kontekstom karantene i Gatekeepera te poviješću preglednika. Gdje je to moguće, dokumentiramo URL izvora, putanju odredišta, vremenske oznake i hash vrijednosti relevantnih datoteka.
U slučaju sumnjivih preuzimanja provodi se dodatna korelacija s tragovima XProtecta, tragovima postojanosti i tragovima tijeka izvršavanja.
Tipična područja primjene
Ovo je način na koji se provodi forenzička istraga.
Kada se sigurnosna kopija dovrši, skeniraju se podaci preglednika i datotečnog sustava radi povijesti preuzimanja. Identificirane datoteke se hashaju i provjeravaju putanju, vremenski žig, potpis i sigurnosne metapodatke.
Obavijest o preuzimanju se ne smatra automatski dokazom izvršenja. Dodatni macOS artefakti koriste se za utvrđivanje je li datoteka otvorena ili je program pokrenut.
Zašto je ovo područje istraživanja relevantno za forenziku?
Povezuje preuzimanja s aktivnošću preglednika na lokalnom datotečnom sustavu. To znači da mogu biti osobito korisni pri rekonstrukciji lanca zaraze ili utvrđivanju podrijetla datoteke.
Ipak, lanac dokaza mora ostati jasno odvojen: preuzimanje, spremanje, otvaranje i izvršavanje su različiti tehnički događaji.
Često postavljana pitanja
LanCologne – macOS forenzika u Kölnu
Trebate li profesionalnu analizu sumnjivih ili relevantnih preuzimanja iz Safarija? LanCologne vam može pomoći pri forenzičkom očuvanju i tehničkoj rekonstrukciji lanca preuzimanja.