Informática forense · macOS

Análise forense de FSEvents – Reconstruir alterações no sistema de ficheiros no macOS

O FSEvents é um mecanismo do macOS destinado a detetar alterações nas hierarquias de diretórios monitorizadas. A Apple disponibiliza esta interface desde o Mac OS X 10.5. O serviço FSEvents processa eventos do sistema de ficheiros e pode manter registos persistentes de eventos, com base nos quais as aplicações determinam se o conteúdo sofreu alterações desde um estado anterior dos eventos.

Pedido de informação sem compromisso

No âmbito da análise forense, os FSEvents podem fornecer informações valiosas sobre as atividades relacionadas com ficheiros e diretórios. No entanto, os dados não devem ser interpretados como um registo completo de cada ação individual do utilizador. Em particular, a granularidade dos eventos, as lacunas existentes, a rotação e o estado específico do macOS devem ser tidos em conta em cada avaliação.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Fazemos a cópia de segurança e analisamos os dados existentes do FSEvents na cópia de trabalho forense e classificamos tecnicamente os identificadores de eventos, as referências temporais, os percursos e os indicadores de eventos. Os resultados são comparados com estruturas APFS, metadados de ficheiros, registos unificados, metadados do Spotlight e outros artefactos relacionados com o caso.

Uma entrada no FSEvents não é automaticamente atribuída a uma pessoa ou aplicação específica. Só se fazem afirmações sobre a origem da entrada se houver indícios adicionais que sustentem essa atribuição.

Áreas de aplicação típicas

•Reconstrução das alterações nos ficheiros e diretórios
•Análise de dados apagados ou movidos
•Limitação temporal das atividades do sistema de ficheiros
•Resposta a incidentes e investigações de malware
•Investigação de alegações de manipulação
•Correlação com artefactos APFS e do sistema
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Após a obtenção de provas seguras, as estruturas FSEvents existentes são identificadas e verificadas quanto à sua viabilidade técnica. Os dados dos eventos são descodificados, os caminhos e indicadores relevantes são registados e organizados numa sequência cronológica ou relacionada com os eventos, de forma compreensível.

Em seguida, procede-se à correlação com outras fontes de dados. Neste contexto, verifica-se expressamente se as sequências de eventos parecem estar completas ou se existem indícios de lacunas ou de dados de eventos que já não existem. Apenas as relações tecnicamente fiáveis são incluídas na avaliação.

Por que razão este artefacto é relevante do ponto de vista forense?

O FSEvents consegue documentar de forma eficiente as alterações em grandes hierarquias de diretórios, fornecendo assim indícios que já não são imediatamente visíveis apenas no sistema de ficheiros atual. Isso torna este mecanismo particularmente interessante para a reconstrução de alterações.

Ao mesmo tempo, o FSEvents não constitui um substituto completo para uma linha temporal do sistema de ficheiros. A Apple descreve a tecnologia como um mecanismo de notificação e rastreio de alterações; a granularidade pode situar-se ao nível do diretório. Por conseguinte, as conclusões forenses devem ser sempre corroboradas com outros artefactos.

Perguntas frequentes

O que distingue a FSEvents?+
O FSEvents serve para notificar sobre alterações nas hierarquias de diretórios e pode fornecer eventos de alteração persistentes.
A FSEvents consegue comprovar cada ação realizada em cada ficheiro?+
Não. Os dados dos eventos não devem ser interpretados como um registo completo das ações do utilizador e devem ser avaliados no contexto de outros artefactos.
O FSEvents pode ajudar no caso de ficheiros eliminados?+
Sim, os eventos existentes podem fornecer pistas sobre percursos ou alterações anteriores, mesmo que o ficheiro em questão já não exista atualmente.
É possível identificar o utilizador a partir de uma entrada do FSEvents?+
Não apenas com base nesse acontecimento. A atribuição de um utilizador requer indícios adicionais e fiáveis.

LanCologne – Análise forense do macOS em Colónia

Precisa de uma análise profissional do FSEvents num sistema macOS? A LanCologne ajuda-o a efetuar um backup com validade judicial e a reconstruir de forma compreensível as alterações no sistema de ficheiros.

Entre em contacto connosco agora