Kryminalistyka informatyczna · macOS
Analiza kryminalistyczna migawek Time Machine – badanie wcześniejszych stanów plików w systemie macOS
Time Machine może tworzyć lokalne migawki woluminu startowego na komputerach Mac sformatowanych w systemie APFS. Apple podaje, że są one generowane mniej więcej co godzinę i zazwyczaj przechowywane przez około 24 godziny. Ponadto migawka ostatniej udanej kopii zapasowej utworzonej przez Time Machine może pozostać zachowana do momentu, gdy zajdzie potrzeba zwolnienia miejsca na dysku; od wersji macOS High Sierra przed instalacją aktualizacji macOS Update tworzona jest dodatkowo kolejna migawka.
W kryminalistyce takie lokalne migawki mogą umożliwić dostęp do wcześniejszych stanów lub wersji plików. Nie ma jednak gwarancji co do ich istnienia ani zawartości. Migawki mogą być automatycznie usuwane, zwłaszcza gdy potrzebne jest miejsce na dysku.
Dlaczego LanCologne?
Od momentu powstania firma LanCologne zajmuje się przede wszystkim profesjonalną kryminalistyką informatyczną. Nasi pracownicy posiadają wieloletnie doświadczenie w dziedzinie technologii informacyjnych i wspierają przedsiębiorstwa, prawników, osoby prywatne, a także regularnie sądy w technicznym wyjaśnianiu złożonych spraw związanych z technologiami cyfrowymi.
Badanie przeprowadza się zasadniczo wyłącznie na kopii kryminalistycznej, obrazie kryminalistycznym lub źródle danych zarejestrowanym w sposób technicznie równoważny i zapewniający bezpieczeństwo dowodowe. Oryginalny dowód pozostaje niezmieniony i jest przechowywany w sposób zapewniający bezpieczeństwo dowodowe.
Nasze usługi
Identyfikujemy istniejące lokalne migawki Time Machine, dokumentujemy ich odniesienie czasowe i przypisujemy je do odpowiedniego woluminu APFS. O ile jest to technicznie możliwe, porównujemy odpowiednie pliki i katalogi z aktualnym stanem danych oraz innymi dostępnymi migawkami.
W badaniu wyraźnie rozróżniono lokalne migawki APFS od zewnętrznych lub sieciowych kopii zapasowych typu „Time Machine”. Wnioski dotyczą wyłącznie faktycznie istniejących i przeanalizowanych zbiorów danych.
Typowe obszary zastosowań
Tak przebiega badanie kryminalistyczne
Po bezbłędnym zarejestrowaniu danych przeprowadza się inwentaryzację istniejących migawek APFS oraz sprawdza, czy można je przypisać do programu Time Machine lub innego celu systemowego. Odpowiednie migawki są porządkowane chronologicznie, a następnie porównywane z aktualnym stanem systemu plików.
Uwzględnia się przy tym fakt, że lokalne migawki Time Machine mogą być automatycznie zarządzane i usuwane. Brak migawki nie stanowi zatem dowodu na to, że usługa Time Machine nie była aktywna w danym momencie. Wyniki są korelowane z metadanymi APFS, zdarzeniami FSEvents oraz innymi artefaktami systemu macOS.
Dlaczego ten artefakt ma znaczenie kryminalistyczne?
Lokalne migawki funkcji Time Machine mogą udostępniać wcześniejszy stan plików, nawet jeśli zewnętrzny nośnik kopii zapasowej jest w danej chwili niedostępny. Dzięki temu w odpowiednich przypadkach mogą stanowić dodatkowe źródło danych historycznych.
Ich wartość dowodowa w kontekście kryminalistycznym zależy od faktycznej dostępności migawek oraz od badanego okresu. Nie stanowią one nieograniczonej, kompletnej historii i nie należy ich utożsamiać z trwałym, zewnętrznym zabezpieczeniem typu „Time Machine”.
Najczęściej zadawane pytania
LanCologne – analiza kryminalistyczna systemu macOS w Kolonii
Potrzebują Państwo profesjonalnej analizy istniejących migawek Time Machine? Firma LanCologne zapewni Państwu pomoc w tworzeniu kopii zapasowych spełniających wymogi sądowe oraz w przeprowadzeniu przejrzystej analizy wcześniejszych stanów plików.