Informatica forense · macOS

Distinguere tra triage Mac e analisi forense completa

Un triage rapido risponde a una domanda diversa rispetto a una valutazione forense completa. Il triage ha lo scopo di stabilire le priorità e individuare gli aspetti rilevanti; un'analisi completa prende in considerazione un numero nettamente maggiore di artefatti, fonti di dati e verifiche incrociate.

Richiesta non vincolante

Nel caso dei computer Apple, questo aspetto è particolarmente importante, poiché l’hardware e l’architettura di sicurezza hanno subito notevoli cambiamenti negli ultimi anni. Un vecchio iMac con processore Intel, un Mac con processore Intel dotato di chip di sicurezza T2 e un Mac Studio di ultima generazione con Apple Silicon non possono essere trattati secondo lo stesso schema tecnico. APFS, Secure Enclave, FileVault e lo stato del sistema determinano quali dati sono accessibili e quale metodo di backup comporta il minor numero di modifiche.

Il risultato di un triage non sostituisce un esame completo. Soprattutto in caso di controversie o procedimenti giudiziari, potrebbe rendersi necessaria un’analisi completa successiva.

Perché LanCologne?

LanCologne non esamina i computer Apple secondo uno schema standard generico, ma sulla base dell’architettura hardware e di sicurezza specifica. I nostri collaboratori vantano decenni di esperienza nel settore delle tecnologie dell’informazione e una pluriennale esperienza pratica nell’informatica forense. Forniamo supporto ad aziende, avvocati, privati, nonché regolarmente a tribunali e autorità pubbliche nell’analisi tecnica di casi di natura digitale.

L'analisi viene effettuata di norma su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale viene conservato inalterato oppure, qualora siano necessari interventi tecnicamente inevitabili, questi vengono documentati in modo trasparente e il materiale viene conservato a prova di manomissione.

Il nostro metodo di lavoro e gli strumenti utilizzati

La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati l’apparecchio, il modello, il numero di serie o di inventario, lo stato delle connessioni, lo stato visibile del sistema e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno effettuare un’acquisizione in tempo reale oppure se sia tecnicamente giustificabile ricorrere a una procedura di recovery, target disk o share disk.

Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione oggetto di prova. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Le modifiche di stato inevitabili durante le operazioni live o di ripristino vengono espressamente registrate.

Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.

A seconda della generazione del dispositivo e del caso specifico, combiniamo le funzionalità native di Apple con strumenti forensi specializzati. Per l’acquisizione e il triage dei dati su Mac è possibile utilizzare SUMURI RECON ITR; per l’analisi nativa di macOS, RECON LAB. Belkasoft X e X-Ways vengono impiegati anche per la verifica incrociata di artefatti, timeline e dati di basso livello. Nessuno strumento viene considerato l’unica fonte di verità.

Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova“ automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.

Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo le strutture specifiche di Apple su macOS; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente verifiche molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti concordano, l’affidabilità dei risultati aumenta. Se invece non concordano, viene indagata la causa e non viene semplicemente selezionato il risultato più conveniente.

Campi di applicazione tipici

•Perizie giudiziarie ed extragiudiziarie
•Acquisizione delle prove da iMac, Mac mini, Mac Studio, MacBook e Mac Pro
•Analisi dei sistemi Apple Silicon, T2 e dei sistemi Intel di vecchia generazione
•Risposta agli incidenti e analisi del malware
•Analisi degli artefatti APFS, degli utenti, delle applicazioni e del sistema
•Ricostruzione delle attività relative a file, utenti e rete
•Verifica incrociata dei risultati dei parser automatici
•Analisi di tracce cancellate, storiche o visibili solo indirettamente
•Documentazione per tribunali, avvocati, aziende e autorità pubbliche

Ecco come si svolge l'analisi forense

1Raccolta delle prove e documentazione dello stato dei fatti

Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è connesso, bloccato o collegato a supporti di dati esterni. Queste informazioni potrebbero rivelarsi decisive in seguito.

2Classificazione tecnica

Vengono determinati la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza pertinenti. Solo sulla base di questi elementi è possibile stabilire il metodo di acquisizione più adeguato.

3Salvataggio con garanzia di integrità dei dati

Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, RECON ITR può essere utilizzato per l'imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su processori Intel o Share Disk su Apple Silicon. Ogni fase viene registrata.

4Verifica dell'integrità

Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.

5Analisi a più livelli

RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda del problema da risolvere. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.

6Convalida manuale

Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.

7Relazione e riferimento alle prove

Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

Un triage rapido risponde a una domanda diversa rispetto a una valutazione forense completa. Il triage ha lo scopo di stabilire le priorità e individuare gli aspetti rilevanti; un'analisi completa prende in considerazione un numero nettamente maggiore di artefatti, fonti di dati e verifiche incrociate.

Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.

Il risultato di un triage non sostituisce un esame completo. Soprattutto in caso di controversie o procedimenti giudiziari, potrebbe rendersi necessaria un’analisi completa successiva.

Soprattutto sui Mac moderni, inoltre, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia integrata nell’hardware, Secure Enclave, FileVault e APFS chiariscono perché sia così importante eseguire un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.

Domande frequenti

Quali aspetti forensi occorre tenere in considerazione nel caso del „Mac-Triage e analisi completa“?
La nostra indagine non inizia con l’avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati il dispositivo, il modello, il numero di serie o di inventario, lo stato delle connessioni, lo stato visibile del sistema e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno procedere a un'acquisizione „live“ o se sia tecnicamente giustificabile ricorrere a una procedura di recovery, target disk o share disk. Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione probatoria. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Le modifiche di stato inevitabili durante le operazioni in tempo reale o di recupero vengono espressamente registrate. Il backup generato viene documentato con valori hash. L’analisi vera e propria non viene effettuata sull’originale, ma su una copia di lavoro o su un’immagine probatoria verificata. In questo modo è possibile utilizzare parser, ricerche o programmi di supporto propri senza alterare continuamente la prova originale. A seconda della generazione del dispositivo e della questione da risolvere, combiniamo le funzioni native di Apple con strumenti forensi specializzati. Per l’acquisizione e il triage su Mac è possibile utilizzare SUMURI RECON ITR; per l’analisi nativa su macOS, RECON LAB. Belkasoft X e X-Ways servono inoltre per la verifica incrociata di artefatti, timeline e a basso livello. Nessuno strumento viene considerato come unica fonte di verità. Per un lettore non esperto del settore, un aspetto è particolarmente importante: un programma forense non «trova» automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser può reagire in modo incompleto o errato. Per questo motivo, in caso di risultati decisivi, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto. Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo su macOS le strutture specifiche di Apple; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente analisi molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti coincidono, l’affidabilità dei risultati aumenta. Se non coincidono, si indaga sulla causa e non ci si limita a selezionare semplicemente il risultato più conveniente.
Come si svolge nella pratica un’indagine forense di questo tipo?
1 Raccolta delle prove e documentazione dello stato Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite fotografie o per iscritto. Si rileva se è acceso o spento, se è connesso all’account utente, se è bloccato o se è collegato a supporti di dati esterni. Queste informazioni possono rivelarsi decisive in seguito. 2 Analisi tecnica Vengono determinate la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza rilevanti. Solo sulla base di questi dati si individua il metodo di acquisizione più adeguato. 3 Backup a prova di prova Il metodo di backup viene scelto in modo da modificare il meno possibile l’originale. A seconda del caso, RECON ITR può essere utilizzato per l’imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su Intel o Share Disk su Apple Silicon. Ogni fase viene registrata. 4 Verifica dell’integrità Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L’analisi e le operazioni di ricerca vengono quindi eseguite su copie di lavoro. 5 Valutazione multistadio RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda della problematica. Un risultato importante non viene, per quanto possibile, ricavato da una singola visualizzazione del parser. 6 Convalida manuale Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo parzialmente dal software standard, verifichiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni del file system. Se necessario, vengono utilizzati strumenti sviluppati internamente. 7 Relazione e riferimento probatorio Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e dove si trovano i limiti.
Qual è il valore probatorio forense dei risultati ottenuti in questo ambito?
Un triage rapido risponde a una domanda diversa rispetto a un’analisi forense completa. Il triage ha lo scopo di stabilire le priorità e individuare gli aspetti rilevanti; un’analisi completa prende in considerazione un numero nettamente maggiore di artefatti, fonti di dati e verifiche incrociate. Il valore forense non risiede solo nella quantità di dati rilevati, ma nella loro provenienza e attendibilità. Un nome di file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un artefatto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi sostengano il risultato. Il risultato di un triage non va considerato un sostituto di un’analisi completa. Soprattutto in casi controversi o oggetto di contenzioso, può rendersi necessaria una successiva analisi completa. Inoltre, proprio sui Mac moderni, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia integrata nell’hardware, Secure Enclave, FileVault e APFS chiariscono perché sia così importante effettuare un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.
In un esame di questo tipo, le ipotesi vengono presentate come risultati certi?
No. I risultati delle analisi tecniche vengono presentati solo nella misura in cui sono comprovati dai dati effettivamente disponibili. Le ipotesi non comprovabili non vengono formulate come risultati accertati.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di una perizia professionale sul tema „Distinzione forense tra “Mac-Triage’ e ‘valutazione completa’”? LanCologne vi supporta nell’acquisizione di prove sicure, nella valutazione a più livelli e nella documentazione tracciabile. L’aspetto fondamentale non è quello di generare il maggior numero possibile di risultati automatici, bensì di acquisire prove tecnicamente attendibili e verificabili.

Contattaci subito