IT-forensisch onderzoek · macOS

Forensische analyse van het APFS-bestandssysteem – De basis van modern macOS-onderzoek

Het Apple File System (APFS) is sinds macOS 10.13 het standaardbestandssysteem van moderne Mac-systemen. Het is ontwikkeld voor flash- en SSD-opslag en ondersteunt onder andere Copy-on-Write-metadata, Space Sharing, klonen, snapshots en versleuteling. Vanuit forensisch oogpunt is kennis van de APFS-structuur daarom een essentiële voorwaarde voor een gedegen onderzoek van huidige macOS-systemen.

Vrijblijvend informeren

Bij opstartbare Macs bestaat een APFS-container sinds macOS 10.15 doorgaans uit meerdere logisch bij elkaar horende volumes. Naast het systeem- en gegevensvolume kunnen er onder andere preboot-, herstel- en VM-volumes aanwezig zijn. Sinds macOS 11 wordt het besturingssysteem standaard opgestart vanuit een snapshot van het systeemvolume. Bij het maken van back-ups en het analyseren van gegevens moet rekening worden gehouden met deze architectuur, omdat door de gebruiker bewerkbare gegevens en beschermde systeemonderdelen niet langer in één enkel klassiek bestandssysteemvolume zijn ondergebracht.

Een APFS-analyse beperkt zich niet tot afzonderlijke gevonden bestanden. Container- en volumestructuren, volumerollen, snapshots, metagegevens van het bestandssysteem, tijdinformatie en de koppeling aan andere macOS-artefacten worden gezamenlijk beoordeeld. Bij versleutelde systemen moet bovendien rekening worden gehouden met FileVault, aan de Secure Enclave gekoppelde sleutelmechanismen en de specifieke apparaatgeneratie. Uitspraken over de herstelbaarheid van verwijderde inhoud moeten, met name bij SSD’s, vanwege versleuteling, TRIM en reeds overschreven geheugengebieden, terughoudend en per geval worden gedaan.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek van macOS-systemen vindt in principe uitsluitend plaats op een forensische kopie of een forensische image. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

We analyseren APFS-containers en -volumes, volumrollen, metagegevens van het bestandssysteem, bestaande APFS-snapshots en de logische koppeling tussen het systeemvolume en het gegevensvolume. Afhankelijk van het apparaat, de macOS-versie en de gegevenssituatie worden relevante structuren gekoppeld aan gebruikers-, systeem-, applicatie- en loggegevens. Als FileVault actief is, wordt eerst beoordeeld of en onder welke juridisch en technisch toegestane voorwaarden toegang tot de versleutelde gebruiksgegevens mogelijk is. Het doel is een traceerbare technische reconstructie op basis van daadwerkelijk aanwezige artefacten.

Typische toepassingsgebieden

•Reconstructie van bestands- en gebruikersactiviteiten
•Onderzoek naar verwijderde of verplaatste bestanden
•Analyse van APFS-snapshots
•Beoordeling van systeem- en gegevensvolumes
•Beschuldigingen van gegevensdiefstal en manipulatie
•Incidentrespons op macOS-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een forensisch onderzoek naar APFS

Nadat de gegevensdrager of de technisch beschikbare forensische gegevensbron op een bewijsveilige manier is vastgelegd, wordt eerst de APFS-structuur bepaald. Daarbij worden containers, volumes, volumerollen, de versleutelingsstatus en aanwezige snapshots gedocumenteerd. Vervolgens wordt de relevante bestandssysteeminformatie gekoppeld aan andere macOS-artefacten. Afhankelijk van het Mac-model en de beveiligingsconfiguratie kan de wijze van gegevensverzameling aanzienlijk variëren; met name Apple Silicon- en T2-systemen vereisen een beoordeling van de beschikbare toegangsmogelijkheden voordat gebruikersgegevens kunnen worden onderzocht. Alle onderzoeksstappen en technische beperkingen worden op een traceerbare manier gedocumenteerd.

Waarom is de APFS-analyse zo belangrijk?

APFS vormt op de huidige Mac-systemen de technische basis voor de opslag van besturingssysteem-, gebruikers- en applicatiegegevens. De indeling in volumegroepen, snapshots en moderne versleutelingsmechanismen verschilt aanzienlijk van oudere HFS+-systemen. Een onjuiste interpretatie van deze structuren kan leiden tot verkeerde conclusies over de tijd of de inhoud. Daarom worden APFS-artefacten niet afzonderlijk beoordeeld, maar altijd in combinatie met de relevante macOS-logbestanden, gebruikersartefacten en applicatiegegevens.

Veelgestelde vragen

Wat is APFS?+
APFS staat voor Apple File System en is sinds macOS 10.13 het standaardbestandssysteem voor moderne Mac-systemen.
Wordt het originele systeem onderzocht?+
Nee. Het onderzoek vindt in principe plaats op basis van een forensische kopie, een forensische afspiegeling of een anderszins op bewijsveilige wijze vastgelegde forensische gegevensbron.
Kunnen verwijderde bestanden op APFS altijd worden hersteld?+
Nee. De mogelijkheden hangen onder andere af van de versleuteling, het type apparaat, SSD-TRIM, het overschrijven van gegevens en de specifieke APFS-structuur. Vooral op moderne, versleutelde SSD-systemen kan het herstellen van gegevens sterk beperkt of zelfs onmogelijk zijn.
Wat is het belang van APFS-snapshots?+
Snapshots zijn schrijfbeveiligde momentopnames van een APFS-volume op een bepaald tijdstip. Als er geschikte snapshots beschikbaar zijn, kunnen deze aanvullende informatie opleveren voor de reconstructie van zowel de tijdlijn als de inhoud.

LanCologne – macOS-forensisch onderzoek in Keulen

Heeft u een professionele forensische analyse nodig van een Mac-systeem of een APFS-schijf? LanCologne ondersteunt u bij het maken van een rechtsgeldige back-up van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante macOS- en APFS-artefacten.

Nu contact opnemen