Informática forense · macOS

Análise forense de relatórios de falhas do macOS – Investigação de falhas de processos e informações de diagnóstico

O macOS gera relatórios em caso de determinadas falhas de processos e eventos de diagnóstico, os quais podem conter informações técnicas sobre o processo afetado e o estado do sistema. O conteúdo, o formato e a localização variam consoante o tipo de evento e a versão do sistema operativo.

Pedido de informação sem compromisso

Do ponto de vista forense, esses relatórios podem comprovar que um determinado processo existia, num determinado momento, num estado registado para efeitos de diagnóstico. No entanto, não provam automaticamente como ou por quem o processo foi iniciado.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Analisamos os relatórios existentes de falhas, de diagnóstico e outros relatórios relacionados, com base nos nomes dos processos, nas referências temporais, nas versões e nas informações de contexto relevantes do ponto de vista técnico. Os processos suspeitos são correlacionados com registos unificados, ficheiros de aplicações e artefactos de malware.

A interpretação é feita com base no tipo de incidente; os diferentes formatos de diagnóstico da Apple não são equiparados de forma generalizada.

Áreas de aplicação típicas

•Análise de processos que falharam
•Análises de malware e de resposta a incidentes
•Reconstrução de problemas de aplicação
•Cronologia dos programas suspeitos
•Verificação das informações sobre o processo e a versão
•Correlação com os registos unificados
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Após a cópia de segurança, os relatórios de diagnóstico existentes são inventariados e filtrados de acordo com a sua relevância para o caso. As informações relativas ao processo, ao tempo e à versão são extraídas e comparadas com outros artefactos do sistema.

Um relatório de falha é considerado um resultado de diagnóstico técnico. Apenas serão feitas afirmações mais detalhadas sobre a causa, a ação do utilizador ou a violação de segurança caso existam provas adicionais.

Por que razão esta área de investigação é relevante do ponto de vista forense?

Os relatórios de falhas podem proporcionar uma visão rara, mas muito concreta, de um processo num determinado momento. Em casos de malware e de resposta a incidentes, podem, por isso, conter informações adicionais valiosas.

Nem sempre é possível determinar com clareza a causa de uma falha a partir de um relatório. Por isso, as conclusões forenses devem basear-se apenas nas informações efetivamente documentadas.

Perguntas frequentes

O que pode constar num relatório de falha?+
Dependendo do tipo de relatório, entre outras coisas, informações de diagnóstico relativas a processos, tempo, versões e aspetos técnicos.
Um relatório de falha comprova que um programa foi executado?+
Pode comprovar que o processo em questão estava a decorrer no contexto do evento diagnosticado; no entanto, isso não esclarece automaticamente como e por quem foi iniciado.
Todos os relatórios de diagnóstico têm a mesma estrutura?+
Não. O conteúdo e o formato variam consoante o tipo de evento e a versão do macOS.
Os relatórios de falhas são relevantes para a análise de malware?+
Sim, se surgirem processos ou componentes suspeitos; a avaliação deve ser correlacionada com outros artefactos.

LanCologne – Análise forense do macOS em Colónia

Precisa de uma análise profissional dos relatórios de falhas e de diagnóstico do macOS? A LanCologne ajuda-o a garantir a segurança dos dados para fins judiciais e a sua classificação adequada.

Entre em contacto connosco agora