Informatica forense · macOS

Analisi forense dei file .DS_Store su macOS

I file .DS_Store di macOS possono fornire tracce tecniche rilevanti nell'ambito di un'indagine forense su macOS. Analizzare i file .DS_Store per valutare dal punto di vista tecnico le informazioni relative alle directory e alla visualizzazione ottenute, nonché eventuali indicazioni sui contenuti precedenti delle directory.

Richiesta non vincolante

La rilevanza dipende dall’artefatto specifico, dalla versione di macOS, dallo stato di conservazione e dal contesto rispetto a tracce indipendenti. Le singole voci del database o i metadati non vengono quindi interpretati isolatamente come prova di una determinata azione dell’utente.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Durante l'analisi dei „file .DS_Store di macOS“, i file, i database, i metadati e, se del caso, le informazioni di log correlate vengono esaminati su una copia di lavoro forense. Vengono documentati la posizione di archiviazione, il contesto del file system, i riferimenti temporali e le relazioni con altri artefatti.

Qualora i formati o le posizioni di archiviazione differiscano tra le varie versioni di macOS, ciò verrà preso in considerazione nell’analisi. Le conclusioni vengono tratte esclusivamente sulla base di tracce effettivamente presenti e tecnicamente verificabili.

Campi di applicazione tipici

•Perizie giudiziarie ed extragiudiziarie
•Ricostruzione delle attività degli utenti e delle applicazioni
•Risposta agli incidenti e indagini sulle violazioni di sicurezza
•Verifica delle configurazioni rilevanti per la sicurezza
•Correlazione temporale tra diversi artefatti
•Indagine su possibili manipolazioni
•Conservazione delle prove tecniche e documentazione tracciabile

Ecco come si svolge l'analisi forense

Il supporto o l'insieme di dati in questione viene innanzitutto acquisito in modo da garantirne l'integrità probatoria e documentato tramite valori hash. L'analisi vera e propria viene effettuata su una copia di lavoro. Successivamente, gli artefatti rilevanti per il caso vengono identificati, valutati in modo strutturato e correlati con ulteriori tracce indipendenti.

I risultati, l'interpretazione tecnica e i possibili limiti della significatività vengono presentati separatamente. Le ipotesi non dimostrabili non vengono formulate come risultati oggettivi.

Valore probatorio forense

Analizzare i file DS_Store per valutare dal punto di vista tecnico le informazioni relative alle directory e alla visualizzazione ricevute, nonché eventuali indicazioni sui contenuti precedenti delle directory.

A seconda delle modalità tecniche con cui è stato prodotto, la presenza di un artefatto può documentare uno stato, una configurazione o un’attività. Per stabilire quale conclusione sia ammissibile nel singolo caso, si esamina la logica alla base della sua origine e la correlazione con altre tracce. L’assenza di un reperto non costituisce di per sé una prova del fatto che un evento non abbia avuto luogo.

Domande frequenti

Cosa occorre tenere presente dal punto di vista forense riguardo ai „file .DS_Store di macOS“?
Durante l’analisi dei „file .DS_Store di macOS“, i file, i database, i metadati e, se del caso, le informazioni di log correlate vengono esaminati su una copia di lavoro forense. Vengono documentati la posizione di archiviazione, il contesto del file system, i riferimenti temporali e le relazioni con altri artefatti. Qualora i formati o i percorsi di salvataggio differiscano tra le varie versioni di macOS, se ne terrà conto durante l’analisi. Le conclusioni vengono tratte esclusivamente sulla base di tracce effettivamente presenti e tecnicamente verificabili.
Come si svolge nella pratica un’indagine forense di questo tipo?
Il supporto dati o l’insieme di dati in questione viene innanzitutto acquisito in modo da garantirne la valida prova e documentato tramite valori hash. L’analisi vera e propria viene effettuata su una copia di lavoro. Successivamente, gli artefatti rilevanti per il caso vengono identificati, valutati in modo strutturato e correlati con ulteriori tracce indipendenti. I risultati, l’interpretazione tecnica e i possibili limiti della significatività vengono presentati separatamente. Le ipotesi non dimostrabili non vengono formulate come risultati di fatto.
Qual è il valore probatorio forense dei risultati ottenuti in questo ambito?
Analizzare i file DS_Store per valutare tecnicamente le informazioni relative alle directory e alla visualizzazione ottenute, nonché eventuali indicazioni sui contenuti precedenti delle directory. A seconda delle circostanze tecniche in cui è stato generato, la presenza di un artefatto può documentare uno stato, una configurazione o un’attività. La validità di una conclusione nel singolo caso viene verificata sulla base della logica di formazione e della correlazione con altre tracce. L’assenza di un artefatto non costituisce di per sé una prova del fatto che un evento non abbia avuto luogo.
In un esame di questo tipo, le ipotesi vengono presentate come risultati certi?
No. I risultati delle analisi tecniche vengono presentati solo nella misura in cui sono comprovati dai dati effettivamente disponibili. Le ipotesi non comprovabili non vengono formulate come risultati accertati.

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un'analisi professionale sui „file .DS_Store di macOS“? LanCologne vi assiste nel backup a prova di contestazione, nell'analisi tecnica e nella documentazione tracciabile delle tracce forensi di macOS.

Contattaci subito