IT-forensisch onderzoek · macOS

Forensische analyse van macOS SSH – Onderzoek naar sporen van inloggen op afstand en sleutels

macOS kan via de functie „Remote Login“ SSH-toegang tot een Mac mogelijk maken. Bovendien kan een Mac zelf als SSH-client worden gebruikt. Daardoor kunnen zowel configuraties aan de serverzijde als gebruikersgerelateerde client-artefacten, zoals sleutels, configuratiebestanden of bekende hosts, forensisch relevant zijn.

Vrijblijvend informeren

Het bestaan van een SSH-sleutel of een bekende host betekent niet automatisch dat er in de onderzochte periode een verbinding is geweest. De configuratie, de vertrouwensrelatie en de daadwerkelijke sessie moeten afzonderlijk worden beoordeeld.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We onderzoeken SSH-gerelateerde systeem- en gebruikersgegevens, waaronder bestaande configuraties, metagegevens over sleutelmateriaal, bekende hosts en – voor zover aanwezig – geregistreerde gebeurtenissen met betrekking tot inloggen op afstand. Privésleutels worden op een bewijsveilige manier behandeld en worden niet onnodig gebruikt.

Verbindingsclaims worden gekoppeld aan Unified Logs, netwerk- en aanmeldingsgegevens.

Typische toepassingsgebieden

•Onderzoek naar mogelijke toegang op afstand
•Incidentrespons en analyse van beveiligingsinbreuken
•Controle van SSH-sleutels en configuraties
•Analyse van bekende systemen op afstand
•Reconstructie van administratieve toegang op afstand
•Correlatie met inlog- en netwerkgebeurtenissen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt het forensisch onderzoek

Na het maken van een back-up worden de SSH-configuraties aan de server- en clientzijde afzonderlijk onderzocht. Gebruikersspecifieke .ssh-structuren worden geïnventariseerd, relevante bestanden worden gehasht en uitsluitend op werkkopieën geanalyseerd.

Voor tijdgerelateerde gegevens over daadwerkelijke sessies wordt gebruikgemaakt van aanvullende logbestanden en netwerksporen. Een loutere sleutel- of hostvermelding wordt niet als bewijs van een sessie beschouwd.

Waarom is dit onderzoeksgebied forensisch relevant?

SSH kan zowel een legitiem beheerkanalen zijn als onderdeel van een ongeoorloofde toegang op afstand. Daarom is het van bijzonder belang om technisch onderscheid te maken tussen geactiveerde functies, beschikbare toegangsmiddelen en daadwerkelijk aantoonbare verbindingen.

Bij incidentrespons kan de correlatie met inlog-, shell- en netwerksporen een activiteit op afstand aanzienlijk nauwkeuriger reconstrueren.

Veelgestelde vragen

Kan macOS SSH-toegang toestaan?+
Ja. Via Remote Login kan SSH-toegang tot een Mac worden ingeschakeld.
Betekent een vermelding in known_hosts dat er een actieve verbinding is?+
Nee. Het geeft in eerste instantie een opgeslagen hostverwijzing weer en kan uit een eerdere periode stammen.
Laat een bestaande SSH-sleutel zien dat deze is gebruikt?+
Nee. Voor het gebruik en de specifieke vergadering zijn aanvullende bewijsstukken nodig.
Zijn SSH-artefacten relevant voor incidentrespons?+
Ja. Bij het onderzoek naar legitieme of ongeoorloofde toegang op afstand kunnen ze belangrijke contextinformatie verschaffen.

LanCologne – macOS-forensisch onderzoek in Keulen

Heeft u behoefte aan een professioneel onderzoek naar SSH- en remote-login-sporen op een Mac? LanCologne ondersteunt u bij het maken van een rechtsgeldige back-up en de technische reconstructie.

Nu contact opnemen