IT-forensisch onderzoek · macOS

Screen Time forensisch analyseren – App- en websitegebruik op macOS in kaart brengen

Screen Time maakt sinds macOS 10.15 deel uit van macOS en kan gebruiksinformatie over apps, websites en andere apparaatactiviteiten verstrekken. Apple beschrijft onder andere rapporten over app- en websitegebruik, meldingen en apparaatactiviteit. Afhankelijk van de configuratie kunnen Screen Time-gegevens bovendien worden gesynchroniseerd tussen apparaten die bij hetzelfde Apple-account horen.

Vrijblijvend informeren

Voor forensisch onderzoek kunnen bestaande Screen Time-gegevens aanwijzingen opleveren over het gebruik van bepaalde apps of websites binnen een bepaalde periode. Ze moeten echter niet worden gezien als een volledig activiteitenlogboek. Screen Time moet zijn ingeschakeld of correct zijn geconfigureerd; gegevens kunnen over verschillende apparaten heen worden samengevoegd en Apple wijst erop dat bij het verwijderen van de Safari-geschiedenis of een app de bijbehorende gebruiksgegevens kunnen worden gewist.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We controleren of er screen-time-gegevens beschikbaar zijn in de forensische gegevensbron en of deze voor de betreffende gebruiker of periode kunnen worden geanalyseerd. De beschikbare gebruiksinformatie wordt ingedeeld op basis van applicatie, website, periode en apparaat.

De resultaten worden vergeleken met browsergegevens, Unified Logs, applicatiegegevens en andere tijdgerelateerde sporen. Een weergegeven gebruiksduur wordt niet zonder controle aan een bepaald gebruikersgedrag toegeschreven, met name wanneer Screen Time op verschillende apparaten is gesynchroniseerd.

Typische toepassingsgebieden

•Reconstructie van het gebruik van apps en websites
•Beperking van gebruikersactiviteiten in de tijd
•Onderzoek naar werk- en gebruiksperioden
•Correlatie met browser- en applicatieartefacten
•Controle van gebruiksaanwijzingen voor verschillende apparaten
•Aanvulling op bestaande macOS-tijdlijnen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt het forensisch onderzoek

Nadat de gegevens op een betrouwbare manier zijn vastgelegd, wordt eerst gecontroleerd of Screen Time was ingeschakeld en welke gegevens beschikbaar zijn. Vervolgens wordt relevante gebruiksinformatie geëxtraheerd en toegewezen aan de betreffende app, website, periode en – voor zover dit technisch af te leiden is – het apparaat.

Er wordt bijzondere aandacht besteed aan de mogelijke synchronisatie tussen meerdere Apple-apparaten. Apple biedt de mogelijkheid om zowel statistieken per apparaat als gecombineerde gebruiksstatistieken weer te geven. Daarom wordt, voordat er conclusies worden getrokken op basis van tijd of personen, gecontroleerd of de bevindingen daadwerkelijk aan de onderzochte Mac kunnen worden toegeschreven.

Waarom is dit onderzoeksgebied forensisch relevant?

Screen Time kan een klassieke macOS-artefactanalyse aanvullen met gebruiksinformatie. Juist bij de vraag of een applicatie of website binnen een bepaald tijdsbestek is gebruikt, kunnen bestaande gegevens een extra aanwijzing bieden.

De bewijskracht kent duidelijke grenzen: Screen Time is geen forensisch auditlogboek; het kan zijn uitgeschakeld en gegevens kunnen worden gesynchroniseerd of verwijderd. Betrouwbare conclusies kunnen daarom pas worden getrokken door correlatie met onafhankelijke sporen.

Veelgestelde vragen

Sinds wanneer is Screen Time beschikbaar op de Mac?+
Apple beschrijft Screen Time voor macOS 10.15 en nieuwer.
Welke informatie kan Screen Time weergeven?+
Onder andere het gebruik van apps en websites en – afhankelijk van de versie en het apparaat – andere gebruiksstatistieken.
Kunnen de gegevens over schermtijd afkomstig zijn van meerdere apparaten?+
Ja. Als het Apple-account op de juiste manier is geconfigureerd, kunnen gebruiksgegevens tussen apparaten worden gesynchroniseerd en gecombineerd weergegeven.
Is Screen Time een volledig gebruikerslogboek?+
Nee. Bij het forensisch onderzoek moet rekening worden gehouden met de beschikbaarheid, configuratie, synchronisatie en verwijderingsprocessen.

LanCologne – macOS-forensisch onderzoek in Keulen

Heeft u behoefte aan een professioneel onderzoek naar schermtijd- of gebruiksgegevens op een Mac? LanCologne helpt u bij het maken van een rechtsgeldige back-up en het uitvoeren van een traceerbare technische analyse.

Nu contact opnemen