Informatica forense · macOS

Analisi forense degli attributi estesi di macOS

Gli attributi estesi di macOS possono fornire tracce tecniche rilevanti nell'ambito di un'indagine forense su macOS. Esaminare gli attributi estesi dei file, compresi i metadati relativi alla sicurezza e alla provenienza, nella misura in cui siano conservati nel filesystem sottoposto a backup.

Richiesta non vincolante

La rilevanza dipende dall’artefatto specifico, dalla versione di macOS, dallo stato di conservazione e dal contesto rispetto a tracce indipendenti. Le singole voci del database o i metadati non vengono quindi interpretati isolatamente come prova di una determinata azione dell’utente.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Nell'ambito dell'analisi degli „attributi estesi di macOS“, i file, i database, i metadati e, se del caso, le informazioni di log correlate vengono esaminati su una copia di lavoro forense. Vengono documentati la posizione di archiviazione, il contesto del file system, i riferimenti temporali e le relazioni con altri artefatti.

Qualora i formati o le posizioni di archiviazione differiscano tra le varie versioni di macOS, ciò verrà preso in considerazione nell’analisi. Le conclusioni vengono tratte esclusivamente sulla base di tracce effettivamente presenti e tecnicamente verificabili.

Campi di applicazione tipici

•Perizie giudiziarie ed extragiudiziarie
•Ricostruzione delle attività degli utenti e delle applicazioni
•Risposta agli incidenti e indagini sulle violazioni di sicurezza
•Verifica delle configurazioni rilevanti per la sicurezza
•Correlazione temporale tra diversi artefatti
•Indagine su possibili manipolazioni
•Conservazione delle prove tecniche e documentazione tracciabile

Ecco come si svolge l'analisi forense

Il supporto o l'insieme di dati in questione viene innanzitutto acquisito in modo da garantirne l'integrità probatoria e documentato tramite valori hash. L'analisi vera e propria viene effettuata su una copia di lavoro. Successivamente, gli artefatti rilevanti per il caso vengono identificati, valutati in modo strutturato e correlati con ulteriori tracce indipendenti.

I risultati, l'interpretazione tecnica e i possibili limiti della significatività vengono presentati separatamente. Le ipotesi non dimostrabili non vengono formulate come risultati oggettivi.

Valore probatorio forense

Esaminare gli attributi avanzati dei file, compresi i metadati relativi alla sicurezza e alla provenienza, nella misura in cui siano conservati nel filesystem protetto.

A seconda delle modalità tecniche con cui è stato prodotto, la presenza di un artefatto può documentare uno stato, una configurazione o un’attività. Per stabilire quale conclusione sia ammissibile nel singolo caso, si esamina la logica alla base della sua origine e la correlazione con altre tracce. L’assenza di un reperto non costituisce di per sé una prova del fatto che un evento non abbia avuto luogo.

Domande frequenti

Quali aspetti forensi occorre tenere in considerazione riguardo agli „attributi estesi di macOS“?
Nell’ambito dell’analisi dei „macOS Extended Attributes“, i file, i database, i metadati e, se del caso, le informazioni di log correlate vengono esaminati su una copia di lavoro forense. Vengono documentati la posizione di archiviazione, il contesto del file system, i riferimenti temporali e le relazioni con altri artefatti. Qualora i formati o i percorsi di archiviazione differiscano tra le diverse versioni di macOS, ciò viene preso in considerazione durante l’analisi. Le conclusioni vengono tratte esclusivamente sulla base di tracce effettivamente presenti e tecnicamente verificabili.
Come si svolge nella pratica un’indagine forense di questo tipo?
Il supporto dati o l’insieme di dati in questione viene innanzitutto acquisito in modo da garantirne la valida prova e documentato tramite valori hash. L’analisi vera e propria viene effettuata su una copia di lavoro. Successivamente, gli artefatti rilevanti per il caso vengono identificati, valutati in modo strutturato e correlati con ulteriori tracce indipendenti. I risultati, l’interpretazione tecnica e i possibili limiti della significatività vengono presentati separatamente. Le ipotesi non dimostrabili non vengono formulate come risultati di fatto.
Qual è il valore probatorio forense dei risultati ottenuti in questo ambito?
Esaminare gli attributi avanzati dei file, compresi i metadati relativi alla sicurezza e alla provenienza, nella misura in cui siano conservati nel file system protetto. La presenza di un artefatto può documentare, a seconda delle circostanze tecniche della sua origine, uno stato, una configurazione o un’attività. La validità di una conclusione nel singolo caso viene verificata sulla base della logica alla base della sua origine e della correlazione con altre tracce. L’assenza di un artefatto non costituisce di per sé una prova del fatto che un evento non abbia avuto luogo.
In un esame di questo tipo, le ipotesi vengono presentate come risultati certi?
No. I risultati delle analisi tecniche vengono presentati solo nella misura in cui sono comprovati dai dati effettivamente disponibili. Le ipotesi non comprovabili non vengono formulate come risultati accertati.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un'analisi professionale sugli „attributi estesi di macOS“? LanCologne vi supporta nel backup a prova di contestazione, nell’analisi tecnica e nella documentazione tracciabile delle tracce forensi di macOS.

Contattaci subito