IT forenzika · macOS

Provjera forenzičkih Mac slika pomoću hash vrijednosti

Forenzička kopija mora biti reproducibilna i provjerljiva. U tu svrhu dokumentiraju se i provjeravaju izvor, odredišni format, opseg sigurnosne kopije i vrijednosti kriptografskog haša nakon što je kopija izradena.

Upitajte bez obaveze

Ova je točka posebno važna za Apple računala, budući da su se njihova hardverska i sigurnosna arhitektura značajno promijenile posljednjih godina. Stariji iMac s Intelovim procesorom, Mac s Intelovim procesorom i T2 Security čipom te aktualni Mac Studio s Apple Siliconom ne mogu se tretirati istim tehničkim pristupom. APFS, Secure Enclave, FileVault i stanje sustava određuju koja je podatkovna baza dostupna i koja metoda izrade sigurnosne kopije uzrokuje najmanje prekida.

Samo format datoteke ne čini sigurnosnu kopiju forenzički valjanom. Ključno je dokumentirani postupak, provjere integriteta i jasna usklađenost između izvornog i radnog primjerka.

Zašto LanCologne?

LanCologne ne ispituje Apple računala prema standardiziranom, univerzalnom pristupu, već na temelju specifičnog hardvera i sigurnosne arhitekture. Naše osoblje ima desetljeća iskustva u informacijskoj tehnologiji i mnogo godina praktičnog iskustva u IT forenzici. Pomažemo tvrtkama, odvjetnicima i privatnim osobama, kao i redovito pružamo podršku sudovima i javnim tijelima u tehničkoj istrazi digitalnih predmeta.

Istraživanje se općenito provodi na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvivalentan način koji očuva njegov dokazni integritet. Izvorni dokaz ostaje nepromijenjen ili, u slučajevima kada su tehnički neizbježne izmjene izvršene, one se transparentno dokumentiraju, a dokaz se pohranjuje na način koji očuva njegov dokazni integritet.

Naše radne metode i alati koje koristimo

Naša istraga ne započinje pokretanjem programa za analizu, već prikupljanjem dokaza. Dokumentiraju se uređaj, model, serijski broj ili inventarski broj, status veze, vidljivi status sustava i svi periferni uređaji. Zatim se donosi odluka treba li sustav ostati isključen, je li preporučljivo snimanje podataka uživo ili je tehnički opravdano izvršiti postupak oporavka, ciljni disk ili dijeljeni disk.

Sljedeći korak je definirati strategiju sigurnosnog kopiranja. Razlikujemo mapiranje na razini blokova, logičke sigurnosne kopije i ciljanu trijažu. Izbor ne ovisi o praktičnosti, već o generaciji hardvera, FileVaultu, strukturi APFS-a, dostupnom statusu otključavanja i specifičnom problemu koji treba istražiti. Gdje je tehnički moguće, radimo u načinu rada samo za čitanje. Sve neizbježne promjene u stanju sustava koje proizlaze iz postupaka u stvarnom vremenu ili postupaka oporavka izričito se bilježe.

Izrađena sigurnosna kopija dokumentira se pomoću hash vrijednosti. Stvarna analiza ne provodi se na izvorniku, već na radnoj kopiji ili provjerenoj referentnoj slici. To omogućuje upotrebu parseri, pretraživanja ili prilagođenih alata bez stalnog mijenjanja izvornog dokaza.

Ovisno o generaciji uređaja i specifičnom slučaju, kombiniramo izvorne Apple funkcije sa specijaliziranim forenzičkim alatima. SUMURI RECON ITR može se koristiti za prikupljanje podataka s Mac računala i trijažu; RECON LAB se koristi za analizu nativnog macOS-a. Belkasoft X i X-Ways također se koriste za provjeru artefakata, vremenskih linija i niskorazinsku međuprovjeru. Nijedan pojedinačni alat ne smatra se jedinim izvorom istine.

Za čitatelja koji nije upoznat s temom, jedna je stvar osobito važna: forenzički program ne pronalazi istinu automatski. On čita strukture podataka i tumači ih prema poznatim pravilima. Ako Apple promijeni bazu podataka ili format metapodataka u novoj verziji macOS-a, parser može odgovoriti nepotpuno ili netočno. Zato, kada se radi o ključnim nalazima, provjeravamo iz koje datoteke, baze podataka ili strukture datotečnog sustava potječe rezultat te potvrđuje li drugi tehnički pristup iste nalaze.

Zato koristimo nekoliko alata. RECON LAB može nativno na macOS-u analizirati strukture specifične za Apple; Belkasoft X nudi drugačiji prikaz artefakata i korelacija; X-Ways omogućuje vrlo detaljne provjere sustava datoteka i sirovih podataka. Ako se neovisne analize slažu, to povećava robusnost nalaza. Ako se ne slažu, uzrok se istražuje umjesto da se jednostavno odabere najprikladnija podudarnost.

Tipična područja primjene

•Sudski i nerasudski vještački nalazi
•Očuvanje dokaza s iMaca, Mac minija, Mac Studija, MacBooka i Mac Proa
•Istraživanje Apple Silicon, T2 i starijih Intel sustava
•Odgovor na incidente i istrage zlonamjernog softvera
•Analiza artefakata APFS-a, korisnika, aplikacije i sustava
•Rekonstrukcija aktivnosti datoteke, korisnika i mreže
•Unakrsna provjera rezultata automatskih analizatora
•Analiza izbrisanih, povijesnih ili samo neizravno vidljivih tragova
•Dokumentacija za sudove, odvjetnike, poduzeća i javne vlasti

Ovo je način na koji se provodi forenzička istraga.

1Prikupljanje dokaza i dokumentacije o stanju

Apple uređaj se prvo jasno identificira i dokumentira, bilo fotografijom ili pisanim putem. Bilježimo je li uređaj uključen ili isključen, prijavljen, zaključan ili povezan na vanjske uređaje za pohranu. Ove informacije mogu se kasnije pokazati ključnima.

2Tehnička klasifikacija

Određuju se generacija čipa, verzija macOS-a, APFS struktura, FileVault i relevantni sigurnosni mehanizmi. Tek tada se može utvrditi odgovarajuća metoda snimanja.

3Sigurno pohranjivanje koje čuva dokaze

Metoda sigurnosnog kopiranja odabire se tako da se na izvorniku napravi što je moguće manje promjena. Ovisno o situaciji, RECON ITR se može koristiti za izradu slike diska ili trijažu na modernim Mac računalima. Druge situacije zahtijevaju Apple Recovery, Target Disk Mode na Intel sustavima ili Share Disk na Apple Silicon sustavima. Svaki se korak bilježi.

4Provjera integriteta

Slike ili logičke sigurnosne kopije koje se izrade dobivaju jedinstvena imena, dodjeljuju im se hash vrijednosti i provjeravaju. Analitičke i pretražne operacije potom se provode na radnim kopijama.

5Višestupanjska procjena

RECON LAB, Belkasoft X i X-Ways kombiniraju se ovisno o problemu koji je pred nama. Gdje je to moguće, važan rezultat ne proizlazi samo iz jednog pogleda parsera.

6Ručna provjera

Ako je artefakt posebno važan za dokaze, neobičan ili samo djelomično podržan standardnim softverom, ručno ispitujemo sirove podatke, strukture baza podataka, metapodatke ili informacije o sustavu datoteka. Po potrebi koristimo vlastite alate.

7Izvješće i upućivanje na dokaze

Na kraju činimo više od pukog navođenja onoga što je alat prikazao. Objašnjavamo tehničku osnovu nalaza, koje se zaključke iz njih mogu izvući i gdje su ograničenja.

Zašto je ovo područje istraživanja relevantno za forenziku?

Forenzička kopija mora biti reproducibilna i provjerljiva. U tu svrhu dokumentiraju se i provjeravaju izvor, odredišni format, opseg sigurnosne kopije i vrijednosti kriptografskog haša nakon što je kopija izradena.

Forenzička vrijednost ne leži samo u količini pronađenih podataka, nego i u njihovom podrijetlu i pouzdanosti. Naziv datoteke, vremenski žig ili unos u bazi podataka mogu biti zavaravajući bez konteksta. Zato dokumentiramo kako je artefakt mogao nastati, koja postoje alternativna objašnjenja i koji daljnji dokazi podupiru nalaz.

Samo format datoteke ne čini sigurnosnu kopiju forenzički valjanom. Ključno je dokumentirani postupak, provjere integriteta i jasna usklađenost između izvornog i radnog primjerka.

Na modernim Mac računalima, pokušaji „tradicionalne“ analize podataka također mogu propasti zbog tehničkih ograničenja. Hardversko šifriranje, Secure Enclave, FileVault i APFS jasno ilustriraju zašto je toliko važno izvršiti pravilnu sigurnosnu kopiju prije nego što započne stvarna analiza. Greške napravljene u ovoj fazi ne mogu se uvijek naknadno poništiti.

Često postavljana pitanja

Koje forenzičke aspekte treba imati na umu pri provjeri forenzičkih Mac slika pomoću hash vrijednosti?
Naša istraga ne započinje pokretanjem programa za analizu, nego prikupljanjem dokaza. Dokumentiraju se uređaj, model, serijski broj ili inventarski broj, status veze, vidljivi status sustava i postojeće periferije. Zatim se donosi odluka treba li sustav ostati isključen, je li prikladno prikupljanje podataka uživo ili je tehnički opravdana procedura oporavka, ciljani disk ili dijeljeni disk. Sljedeći korak je definiranje strategije izrade sigurnosne kopije. Pri tome razlikujemo slikanje na razini blokova, logičke sigurnosne kopije i ciljanu trijažu. Izbor ne ovisi o praktičnosti, već o generaciji hardvera, FileVaultu, APFS strukturi, tome je li sustav otključan i o konkretnom dokaznom pitanju. Gdje je to tehnički moguće, radimo u načinu rada samo za čitanje. Svi neizbježni promjeni u stanju uređaja tijekom postupaka uživo ili oporavka izričito se bilježe. Napravljena sigurnosna kopija dokumentira se hash vrijednostima. Sama analiza ne provodi se na izvornom uređaju, već na radnoj kopiji ili provjerenoj sliki dokaza. To omogućuje upotrebu parseri, pretraživanja ili naših vlastitih korisničkih programa bez kontinuiranog mijenjanja izvornog dokaza. Ovisno o generaciji uređaja i specifičnom problemu, kombiniramo izvorne Appleove funkcije sa specijaliziranim forenzičkim alatima. SUMURI RECON ITR može se koristiti za preuzimanje i trijažu podataka s Mac računala; RECON LAB koristi se za analizu izvornog macOS-a. Belkasoft X i X-Ways također se koriste za provjeru artefakata, vremenske crte i međusobnu provjeru na niskoj razini. Nijedan pojedinačni alat ne smatra se jedinim izvorom istine. Za čitatelje koji nisu upoznati s tom područjem, jedna je stvar posebno važna: forenzički program ne „otkriva“ automatski istinu. On čita strukture podataka i tumači ih prema poznatim pravilima. Ako Apple promijeni bazu podataka ili format metapodataka s novom verzijom macOS-a, parser može odgovoriti nepotpuno ili netočno. Zato, kada se radi o ključnim nalazima, provjeravamo iz koje datoteke, baze podataka ili strukture datotečnog sustava potječe rezultat i potvrđuje li drugi tehnički pristup iste nalaze. To je također razlog zašto koristimo više alata. RECON LAB može nativno na macOS-u analizirati strukture specifične za Apple; Belkasoft X nudi drugačiji pogled na artefakte i korelacije; X-Ways omogućuje vrlo detaljne analize sustava datoteka i sirovih podataka. Ako se neovisne analize podudaraju, to povećava čvrstoću nalaza. Ako se ne podudaraju, uzrok se istražuje umjesto da se jednostavno odabere najprikladniji rezultat.
Kako takva forenzička istraga funkcionira u praksi?
1. Prikupljanje dokaza i dokumentiranje stanja uređaja Apple uređaj se prvo jedinstveno identificira i dokumentira fotografski ili pismeno. Bilježimo je li uređaj uključen ili isključen, prijavljen, zaključan ili povezan s vanjskim uređajima za pohranu. Ove informacije mogu se kasnije pokazati ključnima. 2 Tehnička procjena Utvrđuju se generacija čipa, verzija macOS-a, APFS struktura, FileVault i relevantni sigurnosni mehanizmi. Tek tada se može odrediti odgovarajuća metoda pribavljanja. 3. Sigurnosna kopija za očuvanje dokaza Metoda sigurnosnog kopiranja odabire se tako da se na izvornom uređaju promijeni što je manje moguće. Ovisno o slučaju, za izradu slika diska ili trijažu modernih Mac računala može se koristiti RECON ITR. Druge situacije zahtijevaju Apple Recovery, Target Disk Mode na sustavima temeljenim na Intel procesorima ili Share Disk na sustavima temeljenim na Apple Silicon procesorima. Svaki se korak bilježi. 4 Provjera integriteta: stvorene slike ili logičke sigurnosne kopije jedinstveno su imenovane, dodjeljuju im se hash vrijednosti i provjeravaju. Analiza i pretrage zatim se provode na radnim kopijama. 5 Višestupanjska evaluacija RECON LAB, Belkasoft X i X-Ways kombiniraju se ovisno o specifičnim zahtjevima. Kad god je to moguće, ključni nalaz ne temelji se isključivo na jednom prikazu parsera. 6 Ručna validacija Ako je artefakt posebno relevantan za dokaze, neobičan ili samo djelomično podržan standardnim softverom, ručno ispitujemo sirove podatke, strukture baza podataka, metapodatke ili informacije o sustavu datoteka. Po potrebi koristimo vlastite alate. 7 Izvješće i referenca dokaza Na kraju ne navodimo samo ono što je alat prikazao. Objašnjavamo koji tehnički izvor potkrepljuje nalaz, koji je zaključak dopušten i gdje su ograničenja.
Koja je forenzička važnost nalaza u ovom području?
Forenzička kopija mora biti reproducibilna i provjerljiva. U tu svrhu dokumentiraju se i provjeravaju izvor, odredišni format, opseg sigurnosne kopije i vrijednosti kriptografskog haša nakon stvaranja. Forenzička vrijednost ne leži samo u količini pronađenih podataka, nego i u njihovom podrijetlu i pouzdanosti. Naziv datoteke, vremenski žig ili unos u bazi podataka mogu biti zavaravajući bez konteksta. Zato dokumentiramo kako je artefakt mogao nastati, koja postoje alternativna objašnjenja i koji daljnji dokazi podupiru nalaze. Samo format datoteke ne čini sigurnosnu kopiju forenzički valjanom. Ključno je dokumentirani postupak, provjere integriteta i nedvosmislena korelacija između izvornog i radnog primjerka. Nadalje, osobito na modernim Mac računalima, pokušaji „tradicionalne“ analize medija za pohranu podataka mogu ne uspjeti zbog tehničkih ograničenja. Šifriranje temeljeno na hardveru, Secure Enclave, FileVault i APFS jasno ilustriraju zašto je profesionalna sigurnosna kopija toliko važna prije same analize. Pogreške učinjene u ovoj fazi ne mogu se uvijek ispraviti naknadno.
Predpostavke li se u takvoj istrazi predstavljaju kao potvrđeni nalazi?
Ne. Rezultati tehničkih istraga predstavljeni su samo u onoj mjeri u kojoj su potkrijepljeni stvarno zabilježenim podacima. Pretpostavke koje se ne mogu potkrijepiti ne predstavljaju se kao potvrđeni nalazi.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu istragu o „Verifikaciji forenzičkih Mac slika pomoću hash vrijednosti“? LanCologne vam može pomoći pri sigurnom pohranjivanju dokaza, višestupanjskoj analizi i dokumentaciji s mogućnošću praćenja. Ključ ovdje nije generirati što više automatiziranih podudaranja, nego osigurati tehnički valjane i provjerljive dokaze.

Kontaktirajte nas odmah