Informatica forense · macOS

Analisi forense del file system APFS – Fondamenti delle moderne indagini su macOS

L'Apple File System (APFS) è il file system standard dei moderni sistemi Mac a partire da macOS 10.13. È stato sviluppato per le memorie flash e SSD e supporta, tra le altre cose, metadati copy-on-write, space sharing, cloni, snapshot e crittografia. Dal punto di vista forense, la conoscenza della struttura APFS è quindi un requisito fondamentale per un'analisi adeguata dei sistemi macOS attuali.

Richiesta non vincolante

Nei Mac avviabili, a partire da macOS 10.15, un contenitore APFS è tipicamente costituito da diversi volumi logicamente correlati. Oltre al volume di sistema e a quello dei dati, possono essere presenti, tra gli altri, volumi di pre-avvio, di ripristino e di macchine virtuali. A partire da macOS 11, il sistema operativo viene avviato regolarmente da uno snapshot del volume di sistema. È necessario tenere conto di questa architettura durante il backup e l’analisi, poiché i dati modificabili dall’utente e le componenti di sistema protette non sono più raggruppati in un unico volume di file system classico.

Un’analisi APFS non si limita alla semplice individuazione dei singoli file. Vengono valutate congiuntamente le strutture dei container e dei volumi, i ruoli dei volumi, gli snapshot, i metadati del file system, le informazioni temporali e la corrispondenza con altri artefatti di macOS. Nel caso di sistemi crittografati, occorre inoltre tenere conto di FileVault, dei meccanismi di crittografia legati a Secure Enclave e della generazione specifica del dispositivo. Le valutazioni relative alla recuperabilità dei contenuti cancellati devono essere formulate con cautela e caso per caso, in particolare per gli SSD, a causa della crittografia, del TRIM e delle aree di memoria già sovrascritte.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi dei sistemi macOS viene effettuata esclusivamente su una copia forense o su un'immagine forense. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Analizziamo i container e i volumi APFS, i ruoli dei volumi, i metadati del file system, gli snapshot APFS esistenti e la corrispondenza logica tra il volume di sistema e quello dei dati. A seconda del dispositivo, della versione di macOS e dello stato dei dati, le strutture rilevanti vengono messe in correlazione con i dati relativi a utenti, sistema, applicazioni e log. Se FileVault è attivo, si valuta innanzitutto se e a quali condizioni, sia dal punto di vista legale che tecnico, sia possibile accedere ai dati utente crittografati. L’obiettivo è una ricostruzione tecnica tracciabile sulla base di artefatti effettivamente presenti.

Campi di applicazione tipici

•Ricostruzione delle attività relative ai file e agli utenti
•Analisi dei file cancellati o spostati
•Analisi degli snapshot APFS
•Valutazione dei volumi di sistema e dei volumi di dati
•Furto di dati e accuse di manomissione
•Risposta agli incidenti sui sistemi macOS
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge un’analisi forense APFS

Dopo aver acquisito in modo sicuro il supporto dati o la fonte di dati forensi tecnicamente disponibile, viene innanzitutto determinata la struttura APFS. In questa fase vengono documentati container, volumi, ruoli dei volumi, stato di crittografia e snapshot presenti. Successivamente, le informazioni rilevanti relative al file system vengono correlate con ulteriori artefatti di macOS. A seconda del modello di Mac e della configurazione di sicurezza, la modalità di raccolta dei dati può variare notevolmente; in particolare, i sistemi Apple Silicon e T2 richiedono una valutazione delle possibilità di accesso disponibili prima che i dati utente possano essere esaminati. Tutte le fasi dell’analisi e le limitazioni tecniche vengono documentate in modo trasparente.

Perché l'analisi APFS è così importante?

Sui sistemi Mac attuali, APFS costituisce la base tecnica per l'archiviazione dei dati del sistema operativo, degli utenti e delle applicazioni. La suddivisione in gruppi di volumi, snapshot e moderni meccanismi di crittografia si differenzia nettamente dai precedenti sistemi HFS+. Un’interpretazione errata di queste strutture può portare a conclusioni errate in termini di tempistica o contenuto. Per questo motivo, gli artefatti APFS non vengono analizzati isolatamente, ma sempre in combinazione con i protocolli macOS pertinenti, gli artefatti utente e i dati delle applicazioni.

Domande frequenti

Che cos'è l'APFS?+
APFS è l'Apple File System e, a partire da macOS 10.13, è il file system predefinito per i moderni sistemi Mac.
Viene esaminato il sistema originale?+
No. L’analisi viene effettuata, di norma, su una copia forense, su un’immagine forense o su una fonte di dati forense acquisita in altro modo in modo da garantirne la valida prova.
È sempre possibile recuperare i file cancellati su APFS?+
No. Le possibilità dipendono, tra l’altro, dalla crittografia, dal tipo di dispositivo, dalla funzione TRIM dell’SSD, dalla sovrascrittura e dalla struttura specifica dell’APFS. Il recupero dei dati può risultare fortemente limitato o impossibile, in particolare sui moderni sistemi SSD crittografati.
Qual è l'importanza degli snapshot APFS?+
Gli snapshot sono istanti di un volume APFS in cui il volume è protetto da scrittura in un determinato momento. Se sono disponibili snapshot adeguati, questi possono fornire ulteriori informazioni utili per la ricostruzione temporale e dei contenuti.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un’analisi forense professionale di un sistema Mac o di un disco APFS? LanCologne vi assiste nel backup di prove digitali a prova di tribunale e nell’analisi tracciabile degli artefatti rilevanti di macOS e APFS.

Contattaci subito