Informatica forense · macOS

Analisi forense di FSEvents – Ricostruzione delle modifiche al file system su macOS

FSEvents è un meccanismo di macOS che consente di rilevare le modifiche all’interno delle gerarchie di directory monitorate. Apple mette a disposizione questa interfaccia a partire da Mac OS X 10.5. Il servizio FSEvents elabora gli eventi del file system ed è in grado di conservare dati persistenti relativi agli eventi, grazie ai quali le applicazioni possono determinare se i contenuti sono stati modificati rispetto a uno stato precedente.

Richiesta non vincolante

Nel campo della scienza forense, gli FSEvent possono fornire indicazioni preziose sulle attività relative a file e directory. Tuttavia, questi dati non devono essere interpretati come un registro completo di ogni singola azione dell’utente. In particolare, nella valutazione occorre tenere conto della granularità degli eventi, delle eventuali lacune, della rotazione e dello stato concreto del sistema macOS.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Eseguiamo il backup e analizziamo i dati FSEvents disponibili all’interno della copia di lavoro forense e classifichiamo tecnicamente gli identificativi degli eventi, i riferimenti temporali, i percorsi e i flag degli eventi. I risultati vengono confrontati con le strutture APFS, i metadati dei file, i log unificati, i metadati di Spotlight e altri artefatti relativi al caso.

Una voce FSEvents non viene automaticamente attribuita a una persona o a un’applicazione specifica. Si formulano conclusioni sulla provenienza solo se ulteriori indizi confermano tale attribuzione.

Campi di applicazione tipici

•Ricostruzione delle modifiche apportate a file e directory
•Analisi dei dati cancellati o spostati
•Limitazione temporale delle attività del file system
•Risposta agli incidenti e analisi del malware
•Verifica delle accuse di manomissione
•Correlazione con gli artefatti APFS e di sistema
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge l'analisi forense

Dopo aver effettuato un backup sicuro, vengono identificate le strutture FSEvents esistenti e ne viene verificata l’utilizzabilità tecnica. I dati relativi agli eventi vengono decodificati, i percorsi e i flag rilevanti vengono registrati e ordinati in una sequenza cronologica o basata sugli eventi facilmente tracciabile.

Successivamente viene effettuata la correlazione con altre fonti di dati. In questa fase si verifica espressamente se le sequenze di eventi appaiono complete o se vi sono indicazioni di lacune o di dati relativi agli eventi non più disponibili. Nella valutazione vengono inclusi solo i nessi tecnicamente attendibili.

Perché questo reperto è rilevante dal punto di vista forense?

FSEvents è in grado di documentare in modo efficiente le modifiche apportate a grandi gerarchie di directory, fornendo così tracce che nel sistema di file attuale non sono più immediatamente visibili. Ciò rende questo meccanismo particolarmente interessante per la ricostruzione delle modifiche.

Allo stesso tempo, FSEvents non sostituisce completamente la timeline del file system. Apple descrive questa tecnologia come un meccanismo di notifica e tracciamento delle modifiche; la granularità può arrivare a livello di directory. Le conclusioni forensi devono quindi essere sempre corroborate da ulteriori reperti.

Domande frequenti

Cosa contraddistingue FSEvents?+
FSEvents serve a notificare le modifiche alle gerarchie delle directory e può fornire eventi di modifica persistenti.
FSEvents è in grado di dimostrare ogni singola operazione effettuata sui file?+
No. I dati relativi agli eventi non devono essere intesi come un registro completo delle azioni degli utenti e devono essere valutati nel contesto di altri elementi.
FSEvents può essere d’aiuto in caso di file cancellati?+
Sì, gli eventi esistenti possono fornire indicazioni su percorsi o modifiche precedenti, anche se il file in questione non è più presente.
È possibile identificare l'utente a partire da una voce di FSEvents?+
Non solo sulla base dell'evento. Per attribuire la responsabilità a un utente sono necessarie ulteriori prove concrete.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un’analisi professionale FSEvents di un sistema macOS? LanCologne vi supporta nel backup a prova di tribunale e nella ricostruzione tracciabile delle modifiche al file system.

Contattaci subito