IT-forensisch onderzoek · macOS

Forensische analyse van recente items – aanwijzingen over recent gebruikte objecten reconstrueren

macOS houdt in verschillende systeem- en applicatiecontexten informatie bij over recent gebruikte items. Apple beschrijft voor Launch Services uitdrukkelijk het beheer en de bijwerking van het menu ‘Recent gebruikte items’. Afhankelijk van de macOS-versie en de applicatie kunnen aanvullende gebruikersspecifieke gegevens aanwijzingen bevatten over recent gebruikte applicaties, documenten of andere bronnen.

Vrijblijvend informeren

Voor forensisch onderzoek kunnen dergelijke sporen waardevol zijn bij het reconstrueren van gebruikersactiviteiten. Een vermelding in een structuur met recente items moet echter technisch gezien in de juiste context worden geplaatst: deze kan weliswaar wijzen op gebruik, maar vervangt niet automatisch het bewijs van wie het object heeft geopend of welke concrete handeling ermee is uitgevoerd.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We onderzoeken bestaande datasets met betrekking tot ‘Recent Items’ en ordenen de applicaties, documenten, paden en tijdsaanduidingen waarnaar wordt verwezen. Daarbij houden we rekening met versiegebonden verschillen en controleren we of de objecten waarnaar wordt verwezen nog bestaan of dat ze verdere sporen in het bestandssysteem hebben achtergelaten.

De resultaten worden gekoppeld aan Launch Services, bestandsmetadata, Spotlight, FSEvents, Unified Logs en applicatiegerelateerde artefacten.

Typische toepassingsgebieden

•Weergave van de laatst gebruikte documenten
•Onderzoek naar het gebruik van apps
•Analyse van gebruikersactiviteiten
•Onderzoeken naar het weglekken van documenten en gegevens
•Correlatie met tijdlijnen van bestandssystemen
•Controle van verwijderde of verplaatste objecten
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt het forensisch onderzoek

Allereerst worden de structuren van de ‘Recent Items’ op de forensische kopie geïdentificeerd en worden relevante verwijzingen geëxtraheerd. Paden, bestandsnamen, verwijzingen naar applicaties en technisch beschikbare tijdinformatie worden gedocumenteerd.

Vervolgens wordt gecontroleerd of de objecten waarnaar wordt verwezen, terug te vinden zijn in het huidige bestandssysteem, in snapshots of in andere artefacten. Er wordt alleen een betrouwbare conclusie over de activiteit getrokken als het totale sporenpatroon dit ondersteunt.

Waarom is dit onderzoeksgebied forensisch relevant?

Recente items kunnen een directe verbinding vormen tussen de gebruikersinterface en het bestandssysteem. Ze zijn vooral nuttig wanneer moet worden onderzocht welke documenten of toepassingen in een bepaalde werkcontext een rol zouden kunnen hebben gespeeld.

De gegevens zijn echter niet noodzakelijkerwijs volledig en kunnen worden gewijzigd of verwijderd. Daarom moeten ze worden beschouwd als onderdeel van een keten van bewijsmiddelen en niet als het enige bewijs.

Veelgestelde vragen

Wat zijn 'Recente items'?+
Hiermee wordt systeem- of applicatie-informatie bedoeld over de laatst gebruikte objecten, zoals apps of documenten.
Beheert Launch Services de lijst met recente items?+
Apple vermeldt dat Launch Services de inhoud van het menu ‘Recente items’ kan beheren en bijwerken.
Geeft een ‘Recent Item’-vermelding aan wie een document heeft geopend?+
Niet alleen. De context van de gebruiker en de daadwerkelijke handeling moeten aan de hand van aanvullende aanwijzingen worden beoordeeld.
Kunnen vermeldingen verwijzen naar bestanden die niet meer bestaan?+
Dat is mogelijk. Of een dergelijke bevinding betrouwbaar is, moet worden getoetst aan het bestandssysteem en andere artefacten.

LanCologne – macOS-forensisch onderzoek in Keulen

Heeft u behoefte aan een professioneel onderzoek naar sporen van recent bekeken items en documentgebruik? LanCologne ondersteunt u bij het op een voor de rechter geldige manier vastleggen en het op een traceerbare manier reconstrueren daarvan.

Nu contact opnemen