IT forenzika · macOS

Forenzička analiza XProtecta – tehnička procjena Appleove ugrađene zaštite od zlonamjernog softvera

XProtect je dio arhitekture zaštite od zlonamjernog softvera ugrađene u macOS. Apple opisuje nekoliko slojeva zaštite: Gatekeeper i notarizacija osmišljeni su za sprječavanje pokretanja neželjenog softvera pri prvom pokretanju, dok XProtect može otkriti i blokirati poznati zlonamjerni softver te, u određenim slučajevima, pomoći u uklanjanju zlonamjernog softvera koji je već pokrenut.

Upitajte bez obaveze

Za potrebe forenzičke istrage, XProtect je primarno relevantan kao dio cjelokupnog sigurnosnog konteksta. Nalaz vezan uz XProtect može pružiti važnu naznaku poznatog zlonamjernog softvera ili zaštitne mjere. Suprotno tome, odsutnost takvog nalaza ne dokazuje da je sustav bio bez zlonamjernog softvera.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Istražujemo nalaze vezane uz XProtect i tragove sustava u vezi sa sumnjivim datotekama, procesima i mehanizmima za očuvanje. Pri tome ne ispitujemo postojeće informacije u izolaciji, već ih povezujemo s hash vrijednostima, podacima o potpisivanju koda, kontekstom Gatekeepera i karantene, objedinjenim zapisima i drugim artefaktima zlonamjernog softvera.

Procjena jasno razlikuje zaštitni mehanizam, otkrivenu prijetnju i stvarne dokaze uspješne provedbe ili kompromitiranja. Ako XProtect ne dopušta konačan zaključak, to ograničenje je izričito dokumentirano.

Tipična područja primjene

•Istrage zlonamjernog softvera i odgovora na incidente
•Procjena otkrivenog ili blokiranog zlonamjernog softvera
•Korespondencija s Gatekeeperom i notarizacijom
•Istraživanje sumnjivih datoteka i procesa
•Istraživanje mehanizama postojanosti
•Rekonstrukcija incidenata povezanih sa sigurnošću
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Nakon što su dokazi sigurno sačuvani, bilježe se sumnjive datoteke, procesi i relevantni sigurnosni artefakti. Informacije vezane uz XProtect unakrsno se provjeravaju s drugim dokazima u pogledu vremenskog slijeda i tehničkih detalja. Time sustav provjerava je li nalaz samo dokumentacija detekcije ili blokade ili dodatni artefakti podupiru zaključak da se aktivnost doista dogodila.

Analiza uzima u obzir činjenicu da se Appleovi mehanizmi zaštite i potpisi ažuriraju. Stoga se nalazi uvijek temelje na stanju sustava pod istragom i artefaktima koji su na njemu stvarno prisutni.

Zašto je ovo područje istraživanja relevantno za forenziku?

XProtect je relevantan iz forenzičke perspektive jer čini sastavni dio ugrađenog macOS-ovog sustava za obranu od zlonamjernog softvera. Apple opisuje XProtect ne samo kao mehanizam blokiranja, nego i kao komponentu odgovora na zlonamjerni softver koji je već pokrenut.

Međutim, nedostatak XProtect upozorenja ne predstavlja negativan dokaz. Novi, nepoznati, modificirani ili na drugi način neotkriveni zlonamjerni softver može izlaziti izvan opsega određene XProtect detekcije. Stoga sveobuhvatna istraga zlonamjernog softvera zahtijeva dodatne dokaze i analitičke metode.

Često postavljana pitanja

Što je XProtect?+
XProtect je dio ugrađene zaštite od zlonamjernog softvera u macOS-u i osmišljen je, između ostalog, za otkrivanje i blokiranje poznatog zlonamjernog softvera.
Može li XProtect ukloniti zlonamjerni softver koji je već pokrenut?+
Apple također opisuje XProtect kao dio procesa sanacije zlonamjernog softvera koji je već pokrenut.
Znači li XProtect obavijest uspješnu infekciju?+
Ne automatski. Pogodak također može ukazivati na uspješan blok. Točan slijed događaja mora se istražiti na temelju dodatnih dokaza.
Dokazuje li izostanak detekcije XProtecta da nije bilo malvera?+
Ne. Nedostatak podudarnosti ne predstavlja konačan dokaz da sustav nije kompromitiran.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu istragu sumnje na zarazu zlonamjernim softverom na Macu? LanCologne vam može pomoći s forenzičkim sigurnosnim kopiranjem i praćenom analizom XProtecta i drugih sigurnosnih artefakata.

Kontaktirajte nas odmah