Kryminalistyka informatyczna · macOS

Analiza kryminalistyczna migawek APFS – badanie wcześniejszych stanów systemu plików

System plików APFS obsługuje migawki jako chronione przed zapisem kopie woluminu APFS z określonego momentu w czasie. Dzięki temu migawki mogą odzwierciedlać wcześniejsze stany systemu plików bez konieczności tworzenia pełnej drugiej kopii wszystkich danych. System macOS wykorzystuje mechanizmy migawek między innymi w związku z programem Time Machine oraz funkcjami systemowymi.

Wysyłaj zapytanie bez zobowiązań

W kryminalistyce istniejące migawki mogą być niezwykle cenne, ponieważ pliki lub metadane mogą być nadal widoczne w stanie z przeszłości. Migawka nie stanowi jednak gwarantowanego archiwum: jej dostępność, trwałość i zawartość zależą od sposobu użytkowania systemu, zarządzania pamięcią oraz mechanizmu, w ramach którego została utworzona.

Dlaczego LanCologne?

Od momentu powstania firma LanCologne zajmuje się przede wszystkim profesjonalną kryminalistyką informatyczną. Nasi pracownicy posiadają wieloletnie doświadczenie w dziedzinie technologii informacyjnych i wspierają przedsiębiorstwa, prawników, osoby prywatne, a także regularnie sądy w technicznym wyjaśnianiu złożonych spraw związanych z technologiami cyfrowymi.

Badanie przeprowadza się zasadniczo wyłącznie na kopii kryminalistycznej, obrazie kryminalistycznym lub źródle danych zarejestrowanym w sposób technicznie równoważny i zapewniający bezpieczeństwo dowodowe. Oryginalny dowód pozostaje niezmieniony i jest przechowywany w sposób zapewniający bezpieczeństwo dowodowe.

Nasze usługi

Wykrywamy istniejące woluminy APFS i migawki, dokumentujemy nazwy migawek oraz technicznie dostępne odniesienia czasowe, a także porównujemy ze sobą odpowiednie stany systemu plików.

W przypadku konkretnych zagadnień sprawdzamy, czy w migawce znajdują się pliki, katalogi lub metadane, które w obecnym stanie zostały zmienione lub nie są już widoczne. Wyniki są korelowane z danymi z FSEvents, Time Machine oraz innymi artefaktami systemu plików.

Typowe obszary zastosowań

Tak przebiega badanie kryminalistyczne

Po wykonaniu bezpiecznej kopii zapasowej przeprowadzana jest inwentaryzacja kontenerów APFS, woluminów i istniejących migawek. Odpowiednie migawki są w miarę możliwości analizowane w trybie tylko do odczytu i porównywane z aktualnym stanem systemu plików.

W tym procesie dokładnie dokumentuje się, z której migawki pochodzi dana informacja. Obiekt znajdujący się w migawce nie jest interpretowany bez dalszej weryfikacji jako dowód na to, że w innym momencie pozostawał niezmieniony lub był aktywnie wykorzystywany.

Dlaczego ten obszar badań ma znaczenie kryminalistyczne?

Migawki APFS mogą ujawnić stany, które nie są już bezpośrednio dostępne w bieżącym systemie plików. Jest to szczególnie przydatne w przypadku usunięć, zmian oraz analiz związanych z reagowaniem na incydenty.

Ich wartość informacyjna zależy jednak od konkretnego migawki. Nie każdy okres jest objęty migawką i nie każda usunięta informacja zostaje w niej zachowana.

Najczęściej zadawane pytania

LanCologne – analiza kryminalistyczna systemu macOS w Kolonii

Potrzebują Państwo profesjonalnej analizy istniejących migawek APFS? LanCologne wspiera Państwa w tworzeniu kopii zapasowych zgodnych z wymogami sądowymi oraz w przejrzystym porównywaniu wcześniejszych stanów systemu plików.

Skontaktuj się z nami już teraz