Informatica forense · macOS

Analisi forense dei file Plist di macOS – Valutazione delle configurazioni e degli stati

Le Property List, abbreviate in Plist, sono un formato di dati fondamentale in macOS e nelle applicazioni Apple. Possono contenere impostazioni, stati e altre informazioni strutturate e sono disponibili sia in formato XML che in formato binario Property List.

Richiesta non vincolante

Nel campo della scienza forense, i file plist rappresentano spesso preziose fonti di contesto. Il significato delle singole chiavi dipende tuttavia dall’applicazione specifica, dalla versione di macOS e dall’implementazione. I campi sconosciuti non devono essere interpretati solo in base al loro nome.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Identifichiamo i file Property List rilevanti per il caso in esame e ne analizziamo la struttura, le chiavi e i valori nel rispettivo contesto applicativo o di sistema. I file Plist binari vengono decodificati a regola d'arte, senza modificare l'originale.

Le informazioni relative al tempo e allo stato vengono confrontate con i metadati del file system, i log unificati e altri artefatti.

Campi di applicazione tipici

•Analisi delle impostazioni dell'utente e del sistema
•Analisi delle preferenze di utilizzo
•Analisi relative al malware e alla persistenza
•Ricostruzione delle modifiche alla configurazione
•Verifica di Plist binari e basati su XML
•Correlazione con i dati del file system e i dati di log
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge l'analisi forense

Una volta eseguito il backup, i file Plist rilevanti vengono selezionati in base alla richiesta e analizzati dal punto di vista strutturale. I tipi di dati, le chiavi e i valori vengono documentati e, se necessario, confrontati con le informazioni sulla versione dell'applicazione corrispondente.

Le chiavi non documentate vengono valutate dal punto di vista del contenuto solo se il loro significato è supportato in modo attendibile da ulteriori prove tecniche.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

I file plist sono presenti in quasi tutti gli ambiti della scienza forense su macOS. Possono documentare importanti stati di configurazione e aiutare a comprendere altri reperti.

Allo stesso tempo, esiste un elevato rischio di errata interpretazione se le chiavi vengono analizzate senza conoscere la versione del software o l'implementazione in questione.

Domande frequenti

Che cos’è un file Plist?+
Una Property List è un formato di dati strutturato utilizzato da macOS e da molte applicazioni per le impostazioni e altri dati.
Esistono i plist binari?+
Sì. Le Property List possono essere disponibili, tra l’altro, in formato XML e binario.
È possibile interpretare in modo univoco ogni chiave Plist?+
No. Il significato e l'uso dipendono dall'applicazione e dalla versione.
I file plist costituiscono di per sé una prova delle azioni degli utenti?+
Non necessariamente. Molti valori descrivono la configurazione o lo stato e devono essere correlati agli artefatti di attività.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un’analisi professionale dei file Property List di macOS? LanCologne vi supporta nella creazione di copie di sicurezza a prova di tribunale e in un’analisi tecnicamente attendibile.

Contattaci subito