Informatica forense · macOS

Analisi forense del file system APFS – Fondamenti delle moderne indagini su macOS

L'Apple File System (APFS) è il file system standard dei moderni sistemi Mac a partire da macOS 10.13. È stato sviluppato per le memorie flash e SSD e supporta, tra le altre cose, metadati copy-on-write, space sharing, cloni, snapshot e crittografia. Dal punto di vista forense, la conoscenza della struttura APFS è quindi un requisito fondamentale per un'analisi adeguata dei sistemi macOS attuali.

Richiesta non vincolante

Bei startfähigen Macs besteht ein APFS-Container seit macOS 10.15 typischerweise aus mehreren logisch zusammengehörenden Volumes. Neben System- und Data-Volume können unter anderem Preboot-, Recovery- und VM-Volumes vorhanden sein. Seit macOS 11 wird das Betriebssystem regulär von einem Snapshot des System-Volumes gestartet. Diese Architektur muss bei der Sicherung und Auswertung berücksichtigt werden, weil benutzerveränderliche Daten und geschützte Systembestandteile nicht mehr in einem einzigen klassischen Dateisystem-Volume zusammenliegen.

Eine APFS-Analyse wird nicht auf einzelne Dateifunde reduziert. Container- und Volume-Strukturen, Volume-Rollen, Snapshots, Dateisystemmetadaten, Zeitinformationen und die Zuordnung zu weiteren macOS-Artefakten werden gemeinsam bewertet. Bei verschlüsselten Systemen sind zudem FileVault, Secure-Enclave-gebundene Schlüsselmechanismen und die konkrete Gerätegeneration zu berücksichtigen. Aussagen zur Wiederherstellbarkeit gelöschter Inhalte müssen insbesondere bei SSDs wegen Verschlüsselung, TRIM und bereits überschriebenen Speicherbereichen zurückhaltend und einzelfallbezogen getroffen werden.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

Die Untersuchung von macOS-Systemen erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

I nostri servizi

Wir analysieren APFS-Container und -Volumes, Volume-Rollen, Dateisystemmetadaten, vorhandene APFS-Snapshots sowie die logische Zuordnung zwischen System- und Data-Volume. Abhängig von Gerät, macOS-Version und Datenlage werden relevante Strukturen mit Benutzer-, System-, Anwendungs- und Protokolldaten korreliert. Bei aktivem FileVault wird zunächst bewertet, ob und unter welchen rechtlich und technisch zulässigen Voraussetzungen ein Zugriff auf die verschlüsselten Nutzdaten möglich ist. Ziel ist eine nachvollziehbare technische Rekonstruktion auf Grundlage tatsächlich vorhandener Artefakte.

Campi di applicazione tipici

•Ricostruzione delle attività relative ai file e agli utenti
•Analisi dei file cancellati o spostati
•Analyse von APFS-Snapshots
•Bewertung von System- und Data-Volumes
•Furto di dati e accuse di manomissione
•Incident Response auf macOS-Systemen
•Perizie giudiziarie ed extragiudiziarie

So läuft eine APFS-forensische Untersuchung ab

Nach der beweissicheren Erfassung des Datenträgers beziehungsweise der technisch verfügbaren forensischen Datenquelle wird zunächst die APFS-Struktur bestimmt. Dabei werden Container, Volumes, Volume-Rollen, Verschlüsselungsstatus und vorhandene Snapshots dokumentiert. Anschließend werden die relevanten Dateisysteminformationen mit weiteren macOS-Artefakten korreliert. Je nach Mac-Modell und Sicherheitskonfiguration kann die Art der Datenerhebung erheblich variieren; insbesondere Apple-Silicon- und T2-Systeme erfordern eine Bewertung der vorhandenen Zugriffsmöglichkeiten, bevor Nutzdaten untersucht werden können. Sämtliche Untersuchungsschritte und technischen Einschränkungen werden nachvollziehbar dokumentiert.

Warum ist die APFS-Analyse so wichtig?

APFS bildet auf aktuellen Mac-Systemen die technische Grundlage für die Speicherung von Betriebssystem-, Benutzer- und Anwendungsdaten. Die Trennung in Volume-Gruppen, Snapshots und moderne Verschlüsselungsmechanismen unterscheidet sich deutlich von älteren HFS+-Systemen. Eine fehlerhafte Interpretation dieser Strukturen kann zu falschen zeitlichen oder inhaltlichen Schlussfolgerungen führen. Deshalb werden APFS-Artefakte nicht isoliert, sondern stets gemeinsam mit den relevanten macOS-Protokollen, Benutzerartefakten und Anwendungsdaten bewertet.

Domande frequenti

Che cos'è l'APFS?+
APFS ist das Apple File System und seit macOS 10.13 das Standarddateisystem für moderne Mac-Systeme.
Viene esaminato il sistema originale?+
Nein. Die Untersuchung erfolgt grundsätzlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer anderweitig beweissicher erfassten forensischen Datenquelle.
Können gelöschte Dateien auf APFS immer wiederhergestellt werden?+
Nein. Die Möglichkeiten hängen unter anderem von Verschlüsselung, Gerätetyp, SSD-TRIM, Überschreibung und der konkreten APFS-Struktur ab. Eine Wiederherstellung kann insbesondere auf modernen verschlüsselten SSD-Systemen stark eingeschränkt oder unmöglich sein.
Welche Bedeutung haben APFS-Snapshots?+
Snapshots sind schreibgeschützte Zustände eines APFS-Volumes zu einem bestimmten Zeitpunkt. Wenn geeignete Snapshots vorhanden sind, können sie zusätzliche Informationen für die zeitliche und inhaltliche Rekonstruktion liefern.

LanCologne – Analisi forense di macOS a Colonia

Sie benötigen eine professionelle forensische Analyse eines Mac-Systems oder APFS-Datenträgers? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter macOS- und APFS-Artefakte.

Contattaci subito