Informatica forense · macOS

Analisi forense degli snapshot APFS – Esame degli stati precedenti del filesystem

APFS supporta gli snapshot come immagini in sola lettura di un volume APFS in un determinato momento. Gli snapshot possono quindi rappresentare stati precedenti del file system senza creare una seconda copia completa di tutti i dati. macOS utilizza i meccanismi degli snapshot, tra l’altro, in relazione a Time Machine e alle funzioni di sistema.

Richiesta non vincolante

Per le indagini forensi, gli snapshot esistenti possono rivelarsi estremamente preziosi, poiché i file o i metadati potrebbero essere ancora visibili in uno stato precedente. Tuttavia, uno snapshot non è un archivio garantito: la disponibilità, la durata e il contenuto dipendono dall'utilizzo del sistema, dalla gestione della memoria e dal rispettivo meccanismo di creazione.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Rileviamo i volumi APFS e gli snapshot esistenti, documentiamo i nomi degli snapshot e i riferimenti temporali tecnicamente disponibili e confrontiamo tra loro gli stati rilevanti del file system.

In caso di questioni specifiche, verifichiamo se in uno snapshot siano presenti file, directory o metadati che, nello stato attuale, sono stati modificati o non sono più visibili. I risultati vengono correlati con FSEvents, Time Machine e altri artefatti del file system.

Campi di applicazione tipici

•Analisi degli stati precedenti del file system
•Ricerca dei file modificati o eliminati
•Confronto tra lo snapshot e il volume attuale
•Risposta agli incidenti e indagini sulle manomissioni
•Integrazione delle cronologie del file system
•Correlazione con Time Machine e FSEvents
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge l'analisi forense

Dopo aver eseguito un backup a prova di errore, vengono inventariati i container APFS, i volumi e gli snapshot esistenti. Gli snapshot rilevanti vengono analizzati, se possibile in modalità di sola lettura, e confrontati con lo stato attuale del file system.

In questo contesto viene documentato con precisione da quale snapshot provenga un risultato. Un oggetto presente in uno snapshot non viene interpretato, senza un’ulteriore verifica, come prova del fatto che in un altro momento fosse rimasto invariato o fosse stato utilizzato attivamente.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

Gli snapshot APFS consentono di visualizzare stati che non sono più immediatamente disponibili nel file system corrente. Ciò risulta particolarmente utile in caso di cancellazioni, modifiche e indagini nell'ambito della risposta agli incidenti.

La loro significatività dipende tuttavia dallo snapshot specifico. Non tutti i periodi di tempo sono coperti e non tutte le informazioni cancellate vengono conservate da uno snapshot.

Domande frequenti

Che cos’è uno snapshot APFS?+
Una rappresentazione in sola lettura dello stato di un volume APFS in un determinato momento.
Uno snapshot può contenere file cancellati?+
Se il file era presente al momento dello snapshot, in determinate circostanze potrebbe essere ancora visibile in quel momento.
Gli snapshot APFS sono la stessa cosa di un backup completo?+
No. Gli snapshot e i backup svolgono funzioni diverse e presentano caratteristiche diverse in termini di conservazione e archiviazione.
È possibile dimostrare un’azione dell’utente basandosi esclusivamente su uno snapshot?+
No. Lo stato di un file system deve essere correlato con i dati relativi a tempo, utente e attività.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un'analisi professionale degli snapshot APFS esistenti? LanCologne vi supporta nella creazione di backup a prova di tribunale e nel confronto tracciabile degli stati precedenti del filesystem.

Contattaci subito