Informatica forense · macOS
Eseguire un backup forense su un Mac con Apple Silicon
Die beweissichere Erfassung eines Macs mit Apple Silicon unterscheidet sich grundlegend von älteren Intel-Systemen. Interne Speicher sind hardwaregebunden verschlüsselt; Secure Enclave, APFS, FileVault-Zustand und der aktuelle Gerätezustand bestimmen, welche Sicherungswege technisch sinnvoll sind.
Nel caso dei computer Apple, questo aspetto è particolarmente importante, poiché l’hardware e l’architettura di sicurezza hanno subito notevoli cambiamenti negli ultimi anni. Un vecchio iMac con processore Intel, un Mac con processore Intel dotato di chip di sicurezza T2 e un Mac Studio di ultima generazione con Apple Silicon non possono essere trattati secondo lo stesso schema tecnico. APFS, Secure Enclave, FileVault e lo stato del sistema determinano quali dati sono accessibili e quale metodo di backup comporta il minor numero di modifiche.
Ein ausgeschalteter oder gesperrter Mac darf nicht so behandelt werden wie ein bereits authentifiziertes, laufendes System. Unüberlegte Neustarts oder Änderungen können Zugriffs- und Beweismöglichkeiten verändern.
Perché LanCologne?
LanCologne non esamina i computer Apple secondo uno schema standard generico, ma sulla base dell’architettura hardware e di sicurezza specifica. I nostri collaboratori vantano decenni di esperienza nel settore delle tecnologie dell’informazione e una pluriennale esperienza pratica nell’informatica forense. Forniamo supporto ad aziende, avvocati, privati, nonché regolarmente a tribunali e autorità pubbliche nell’analisi tecnica di casi di natura digitale.
L'analisi viene effettuata di norma su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale viene conservato inalterato oppure, qualora siano necessari interventi tecnicamente inevitabili, questi vengono documentati in modo trasparente e il materiale viene conservato a prova di manomissione.
Il nostro metodo di lavoro e gli strumenti utilizzati
La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati l’apparecchio, il modello, il numero di serie o di inventario, lo stato delle connessioni, lo stato visibile del sistema e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno effettuare un’acquisizione in tempo reale oppure se sia tecnicamente giustificabile ricorrere a una procedura di recovery, target disk o share disk.
Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione oggetto di prova. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Le modifiche di stato inevitabili durante le operazioni live o di ripristino vengono espressamente registrate.
Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.
A seconda della generazione del dispositivo e del caso specifico, combiniamo le funzionalità native di Apple con strumenti forensi specializzati. Per l’acquisizione e il triage dei dati su Mac è possibile utilizzare SUMURI RECON ITR; per l’analisi nativa di macOS, RECON LAB. Belkasoft X e X-Ways vengono impiegati anche per la verifica incrociata di artefatti, timeline e dati di basso livello. Nessuno strumento viene considerato l’unica fonte di verità.
Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova“ automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.
Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo le strutture specifiche di Apple su macOS; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente verifiche molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti concordano, l’affidabilità dei risultati aumenta. Se invece non concordano, viene indagata la causa e non viene semplicemente selezionato il risultato più conveniente.
Campi di applicazione tipici
Ecco come si svolge l'analisi forense
Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è connesso, bloccato o collegato a supporti di dati esterni. Queste informazioni potrebbero rivelarsi decisive in seguito.
Vengono determinati la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza pertinenti. Solo sulla base di questi elementi è possibile stabilire il metodo di acquisizione più adeguato.
Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, RECON ITR può essere utilizzato per l'imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su processori Intel o Share Disk su Apple Silicon. Ogni fase viene registrata.
Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.
RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda del problema da risolvere. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.
Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.
Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.
Perché questo ambito di indagine è rilevante dal punto di vista forense?
Die beweissichere Erfassung eines Macs mit Apple Silicon unterscheidet sich grundlegend von älteren Intel-Systemen. Interne Speicher sind hardwaregebunden verschlüsselt; Secure Enclave, APFS, FileVault-Zustand und der aktuelle Gerätezustand bestimmen, welche Sicherungswege technisch sinnvoll sind.
Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.
Ein ausgeschalteter oder gesperrter Mac darf nicht so behandelt werden wie ein bereits authentifiziertes, laufendes System. Unüberlegte Neustarts oder Änderungen können Zugriffs- und Beweismöglichkeiten verändern.
Soprattutto sui Mac moderni, inoltre, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia integrata nell’hardware, Secure Enclave, FileVault e APFS chiariscono perché sia così importante eseguire un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.
Domande frequenti
Was ist bei „Apple-Silicon-Mac“ forensisch zu beachten?
Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione oggetto di prova. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Le modifiche di stato inevitabili durante le operazioni live o di ripristino vengono espressamente registrate.
Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.
A seconda della generazione del dispositivo e del caso specifico, combiniamo le funzionalità native di Apple con strumenti forensi specializzati. Per l’acquisizione e il triage dei dati su Mac è possibile utilizzare SUMURI RECON ITR; per l’analisi nativa di macOS, RECON LAB. Belkasoft X e X-Ways vengono impiegati anche per la verifica incrociata di artefatti, timeline e dati di basso livello. Nessuno strumento viene considerato l’unica fonte di verità.
Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova“ automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.
Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo le strutture specifiche di Apple su macOS; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente verifiche molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti concordano, l’affidabilità dei risultati aumenta. Se invece non concordano, viene indagata la causa e non viene semplicemente selezionato il risultato più conveniente.
Come si svolge nella pratica un’indagine forense di questo tipo?
Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è connesso, bloccato o collegato a supporti di dati esterni. Queste informazioni potrebbero rivelarsi decisive in seguito.
2Technische Einordnung
Vengono determinati la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza pertinenti. Solo sulla base di questi elementi è possibile stabilire il metodo di acquisizione più adeguato.
3Beweissichere Sicherung
Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, RECON ITR può essere utilizzato per l'imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su processori Intel o Share Disk su Apple Silicon. Ogni fase viene registrata.
4Integritätsprüfung
Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.
5Mehrstufige Auswertung
RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda del problema da risolvere. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.
6Manuelle Validierung
Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.
7Bericht und Beweisbezug
Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.
Qual è il valore probatorio forense dei risultati ottenuti in questo ambito?
Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.
Ein ausgeschalteter oder gesperrter Mac darf nicht so behandelt werden wie ein bereits authentifiziertes, laufendes System. Unüberlegte Neustarts oder Änderungen können Zugriffs- und Beweismöglichkeiten verändern.
Soprattutto sui Mac moderni, inoltre, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia integrata nell’hardware, Secure Enclave, FileVault e APFS chiariscono perché sia così importante eseguire un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.
In un esame di questo tipo, le ipotesi vengono presentate come risultati certi?
🔗 Argomenti correlati
LanCologne – Analisi forense di macOS a Colonia
Sie benötigen eine professionelle Untersuchung zu „Apple-Silicon-Mac forensisch sichern“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.