Informatica forense · macOS

Garantire la riproducibilità di un esame effettuato su Mac

Un’indagine forense deve essere documentata in modo tale che un altro perito qualificato possa ricostruire le fasi essenziali e verificare i risultati principali sulla stessa copia delle prove.

Richiesta non vincolante

Nel caso dei computer Apple, questo aspetto è particolarmente importante, poiché l’hardware e l’architettura di sicurezza hanno subito notevoli cambiamenti negli ultimi anni. Un vecchio iMac con processore Intel, un Mac con processore Intel dotato di chip di sicurezza T2 e un Mac Studio di ultima generazione con Apple Silicon non possono essere trattati secondo lo stesso schema tecnico. APFS, Secure Enclave, FileVault e lo stato del sistema determinano quali dati sono accessibili e quale metodo di backup comporta il minor numero di modifiche.

Vengono documentate le versioni degli strumenti, i valori hash, i fusi orari, i filtri, i termini di ricerca e le fasi di elaborazione rilevanti. I singoli risultati non riproducibili vengono valutati con particolare cautela.

Perché LanCologne?

LanCologne non esamina i computer Apple secondo uno schema standard generico, ma sulla base dell’architettura hardware e di sicurezza specifica. I nostri collaboratori vantano decenni di esperienza nel settore delle tecnologie dell’informazione e una pluriennale esperienza pratica nell’informatica forense. Forniamo supporto ad aziende, avvocati, privati, nonché regolarmente a tribunali e autorità pubbliche nell’analisi tecnica di casi di natura digitale.

L'analisi viene effettuata di norma su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale viene conservato inalterato oppure, qualora siano necessari interventi tecnicamente inevitabili, questi vengono documentati in modo trasparente e il materiale viene conservato a prova di manomissione.

Il nostro metodo di lavoro e gli strumenti utilizzati

La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati l’apparecchio, il modello, il numero di serie o di inventario, lo stato delle connessioni, lo stato visibile del sistema e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno effettuare un’acquisizione in tempo reale oppure se sia tecnicamente giustificabile ricorrere a una procedura di recovery, target disk o share disk.

Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra mappatura a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione oggetto di prova. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Le modifiche di stato inevitabili durante le operazioni live o di ripristino vengono espressamente registrate.

Il backup generato viene documentato con valori hash. L'analisi vera e propria non viene effettuata sull'originale, bensì su una copia di lavoro o su un'immagine di prova verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto personalizzati senza modificare continuamente la prova originale.

Nei casi complessi, scegliamo consapevolmente di non utilizzare un unico software. RECON LAB, RECON ITR, Belkasoft X e X-Ways offrono prospettive diverse sullo stesso corpus di prove. Se un artefatto rilevante non viene analizzato in modo completo dai parser standard, integriamo l’analisi con programmi ausiliari e script sviluppati internamente. In questo contesto, il collegamento ai dati grezzi rimane sempre fondamentale: un parser sviluppato internamente ha valore forense solo se il suo risultato è riproducibile e verificabile dal punto di vista tecnico.

Per un lettore non esperto, un aspetto è particolarmente importante: un programma forense non „trova“ automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi lo stesso fatto.

Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo le strutture specifiche di Apple su macOS; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente verifiche molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti concordano, l’affidabilità dei risultati aumenta. Se invece non concordano, viene indagata la causa e non viene semplicemente selezionato il risultato più conveniente.

Campi di applicazione tipici

•Perizie giudiziarie ed extragiudiziarie
•Acquisizione delle prove da iMac, Mac mini, Mac Studio, MacBook e Mac Pro
•Analisi dei sistemi Apple Silicon, T2 e dei sistemi Intel di vecchia generazione
•Risposta agli incidenti e analisi del malware
•Analisi degli artefatti APFS, degli utenti, delle applicazioni e del sistema
•Ricostruzione delle attività relative a file, utenti e rete
•Verifica incrociata dei risultati dei parser automatici
•Analisi di tracce cancellate, storiche o visibili solo indirettamente
•Documentazione per tribunali, avvocati, aziende e autorità pubbliche

Ecco come si svolge l'analisi forense

1Raccolta delle prove e documentazione dello stato dei fatti

Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite foto o per iscritto. Annotiamo se è acceso o spento, se è connesso, bloccato o collegato a supporti di dati esterni. Queste informazioni potrebbero rivelarsi decisive in seguito.

2Classificazione tecnica

Vengono determinati la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza pertinenti. Solo sulla base di questi elementi è possibile stabilire il metodo di acquisizione più adeguato.

3Salvataggio con garanzia di integrità dei dati

Il metodo di backup viene scelto in modo da modificare il meno possibile l'originale. A seconda dei casi, RECON ITR può essere utilizzato per l'imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su processori Intel o Share Disk su Apple Silicon. Ogni fase viene registrata.

4Verifica dell'integrità

Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L'analisi e le operazioni di ricerca vengono poi eseguite su copie di lavoro.

5Analisi a più livelli

RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda del problema da risolvere. Per quanto possibile, un risultato importante non viene ricavato da una sola vista del parser.

6Convalida manuale

Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo in parte dal software standard, esaminiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni relative al file system. Se necessario, utilizziamo strumenti sviluppati internamente.

7Relazione e riferimento alle prove

Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e quali sono i limiti.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

Un’indagine forense deve essere documentata in modo tale che un altro perito qualificato possa ricostruire le fasi essenziali e verificare i risultati principali sulla stessa copia delle prove.

Il valore forense non risiede solo nella quantità di dati rinvenuti, ma anche nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un reperto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori indizi confermino il risultato dell’analisi.

Vengono documentate le versioni degli strumenti, i valori hash, i fusi orari, i filtri, i termini di ricerca e le fasi di elaborazione rilevanti. I singoli risultati non riproducibili vengono valutati con particolare cautela.

Soprattutto sui Mac moderni, inoltre, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia integrata nell’hardware, Secure Enclave, FileVault e APFS chiariscono perché sia così importante eseguire un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.

Domande frequenti

Cosa occorre tenere presente dal punto di vista forense quando si tratta di „garantire la riproducibilità di un’indagine su un Mac“?
La nostra indagine non inizia con l'avvio di un programma di analisi, bensì con la raccolta delle prove. Vengono documentati il dispositivo, il modello, il numero di serie o di inventario, lo stato delle connessioni, lo stato visibile del sistema e le periferiche presenti. Successivamente si decide se il sistema debba rimanere spento, se sia opportuno procedere a un'acquisizione „live“ o se sia tecnicamente giustificabile ricorrere a una procedura di recovery, target disk o share disk. Nella fase successiva viene definita la strategia di backup. A tal fine distinguiamo tra imaging a blocchi, backup logico e triage mirato. La scelta non dipende dalla comodità, ma dalla generazione dell’hardware, da FileVault, dalla struttura APFS, dallo stato di sblocco disponibile e dalla specifica questione probatoria. Laddove tecnicamente possibile, si opera in modalità di sola lettura. Eventuali modifiche inevitabili dello stato durante le operazioni live o di ripristino vengono espressamente registrate. Il backup generato viene documentato con valori hash. L’analisi vera e propria non viene effettuata sull’originale, ma su una copia di lavoro o su un’immagine probatoria verificata. In questo modo è possibile utilizzare parser, operazioni di ricerca o programmi di supporto propri senza modificare continuamente la prova originale. Nei casi complessi, scegliamo consapevolmente di non lavorare con un unico software. RECON LAB o RECON ITR, Belkasoft X e X-Ways offrono diverse prospettive sullo stesso corpus probatorio. Se un artefatto rilevante non viene completamente analizzato dai parser standard, integriamo l’indagine con programmi ausiliari e script sviluppati internamente. In questo contesto, il collegamento ai dati grezzi rimane sempre fondamentale: un parser sviluppato internamente ha senso dal punto di vista forense solo se il suo risultato è riproducibile e tecnicamente verificabile. Per un lettore non esperto del settore, un aspetto è particolarmente importante: un programma forense non «trova» automaticamente la verità. Esso legge le strutture dei dati e le interpreta secondo regole note. Se Apple modifica un database o un formato di metadati con una nuova versione di macOS, un parser potrebbe reagire in modo incompleto o errato. Per questo motivo, in caso di risultati determinanti, verifichiamo da quale file, database o struttura del file system provenga il risultato e se un secondo approccio tecnico confermi la stessa situazione. Questo è anche il motivo per cui utilizziamo diversi strumenti. RECON LAB è in grado di analizzare in modo nativo su macOS le strutture specifiche di Apple; Belkasoft X offre una prospettiva diversa sugli artefatti e sulle correlazioni; X-Ways consente analisi molto dettagliate del file system e dei dati grezzi. Se le analisi indipendenti concordano, l’affidabilità dei risultati aumenta. Se non concordano, si indaga sulla causa e non ci si limita a selezionare semplicemente il risultato più conveniente.
Come si svolge nella pratica un’indagine forense di questo tipo?
1 Raccolta delle prove e documentazione dello stato Il dispositivo Apple viene innanzitutto identificato in modo univoco e documentato tramite fotografie o per iscritto. Si rileva se è acceso o spento, se è connesso all’account utente, se è bloccato o se è collegato a supporti di dati esterni. Queste informazioni possono rivelarsi decisive in seguito. 2 Analisi tecnica Vengono determinate la generazione del chip, la versione di macOS, la struttura APFS, FileVault e i meccanismi di sicurezza rilevanti. Solo sulla base di questi dati si individua il metodo di acquisizione più adeguato. 3 Backup a prova di prova Il metodo di backup viene scelto in modo da modificare il meno possibile l’originale. A seconda del caso, RECON ITR può essere utilizzato per l’imaging o il triage dei Mac di ultima generazione. Altre situazioni richiedono Apple Recovery, la modalità Target Disk su Intel o Share Disk su Apple Silicon. Ogni fase viene registrata. 4 Verifica dell’integrità Le immagini o i backup logici generati vengono denominati in modo univoco, contrassegnati con valori hash e verificati. L’analisi e le operazioni di ricerca vengono quindi eseguite su copie di lavoro. 5 Valutazione multistadio RECON LAB, Belkasoft X e X-Ways vengono combinati a seconda della problematica. Un risultato importante non viene, per quanto possibile, ricavato da una singola visualizzazione del parser. 6 Convalida manuale Se un artefatto è particolarmente rilevante ai fini probatori, insolito o supportato solo parzialmente dal software standard, verifichiamo manualmente i dati grezzi, le strutture dei database, i metadati o le informazioni del file system. Se necessario, vengono utilizzati strumenti sviluppati internamente. 7 Relazione e riferimento probatorio Alla fine non ci limitiamo a elencare ciò che uno strumento ha visualizzato. Spieghiamo quale fonte tecnica sta alla base del risultato, quale conclusione è ammissibile e dove si trovano i limiti.
Qual è il valore probatorio forense dei risultati ottenuti in questo ambito?
Un'analisi forense deve essere documentata in modo tale che un altro perito qualificato possa ricostruire le fasi essenziali e verificare i risultati principali sulla stessa copia delle prove. Il valore forense non risiede solo nella quantità di dati rinvenuti, ma nella loro provenienza e attendibilità. Il nome di un file, un timestamp o una voce di database possono essere fraintesi se privi di contesto. Per questo motivo documentiamo come un artefatto possa essere stato generato, quali spiegazioni alternative esistano e quali ulteriori tracce supportino il risultato. Vengono documentate le versioni degli strumenti, i valori hash, i fusi orari, i filtri, i termini di ricerca e le fasi di elaborazione rilevanti. I singoli risultati non riproducibili vengono valutati con particolare cautela. Soprattutto sui Mac moderni, inoltre, il tentativo di effettuare un’analisi „classica“ del supporto dati può fallire a causa di limiti tecnici. La crittografia integrata nell’hardware, Secure Enclave, FileVault e APFS evidenziano chiaramente perché sia così importante effettuare un backup a regola d’arte prima dell’analisi vera e propria. Gli errori commessi in questa fase non possono sempre essere corretti in un secondo momento.
In un esame di questo tipo, le ipotesi vengono presentate come risultati certi?
No. I risultati delle analisi tecniche vengono presentati solo nella misura in cui sono comprovati dai dati effettivamente disponibili. Le ipotesi non comprovabili non vengono formulate come risultati accertati.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di una perizia professionale sul tema „Garantire la riproducibilità di un’analisi su Mac“? LanCologne vi supporta nell’acquisizione di prove attendibili, nella valutazione in più fasi e nella documentazione tracciabile. L’aspetto fondamentale non è quello di generare il maggior numero possibile di riscontri automatici, bensì di acquisire prove tecnicamente attendibili e verificabili.

Contattaci subito