Informática forense · macOS

Análise forense do Screen Time – Classificar a utilização de aplicações e sites no macOS

O Screen Time faz parte do macOS desde a versão 10.15 e pode fornecer informações sobre a utilização de aplicações, sites e outras atividades do dispositivo. A Apple descreve, entre outros, relatórios sobre a utilização de aplicações e sites, notificações e atividade do dispositivo. Dependendo da configuração, os dados do Screen Time também podem ser sincronizados entre dispositivos associados à mesma conta Apple.

Pedido de informação sem compromisso

No âmbito da análise forense, os dados existentes do Screen Time podem fornecer indícios sobre a utilização de determinadas aplicações ou sites durante um determinado período. No entanto, não devem ser interpretados como um registo completo da atividade. A funcionalidade «Screen Time» tem de estar ativada ou devidamente configurada; os dados podem ser agrupados entre dispositivos e a Apple salienta que, ao apagar o histórico do Safari ou de uma aplicação, os dados de utilização associados podem ser eliminados.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Verificamos se existem dados relativos ao tempo de utilização no Screen Time na fonte de dados forense e se estes podem ser analisados para o utilizador ou período em questão. As informações de utilização disponíveis são classificadas por aplicação, site, período e dispositivo.

Os resultados são cruzados com dados do navegador, registos unificados, dados de aplicações e outros registos temporais. O tempo de utilização apresentado não é atribuído a um determinado comportamento do utilizador sem verificação prévia, especialmente se a funcionalidade «Screen Time» tiver sido sincronizada entre dispositivos.

Áreas de aplicação típicas

•Reconstrução da utilização de aplicações e de sites
•Limitação temporal das atividades dos utilizadores
•Análise dos períodos de trabalho e de utilização
•Correlação com artefactos do navegador e da aplicação
•Verificação das instruções de utilização para todos os dispositivos
•Complemento às linhas temporais existentes do macOS
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Após a obtenção de provas conclusivas, verifica-se, em primeiro lugar, se a funcionalidade «Screen Time» estava ativada e quais os dados disponíveis. Em seguida, extraem-se as informações relevantes sobre a utilização e estas são associadas à respetiva aplicação, ao site, ao período de tempo e — na medida em que tal seja tecnicamente possível — ao dispositivo.

É dada especial atenção à possível sincronização entre vários dispositivos Apple. A Apple permite a apresentação tanto de estatísticas relativas a dispositivos individuais como de estatísticas combinadas de utilização. Por isso, antes de se tirar qualquer conclusão relativa ao tempo ou a uma pessoa específica, verifica-se se o resultado pode, de facto, ser atribuído ao Mac em análise.

Por que razão esta área de investigação é relevante do ponto de vista forense?

O Screen Time pode complementar uma análise clássica de artefactos do macOS com informações sobre a utilização. Especialmente quando se trata de determinar se uma aplicação ou um site foi utilizado num determinado intervalo de tempo, os dados disponíveis podem fornecer uma pista adicional.

A validade das conclusões tem limites claros: o Screen Time não é um registo de auditoria forense, pode estar desativado e os dados podem ser sincronizados ou eliminados. Por isso, só é possível chegar a conclusões fiáveis através da correlação com vestígios independentes.

Perguntas frequentes

Desde quando existe a funcionalidade «Screen Time» no Mac?+
A Apple fornece documentação sobre o Screen Time para o macOS 10.15 e versões posteriores.
Que informações pode o Screen Time apresentar?+
Entre outras coisas, a utilização da aplicação e do site, bem como — dependendo da versão e do dispositivo — outras estatísticas de utilização.
Os dados relativos ao tempo de utilização do ecrã podem provir de vários dispositivos?+
Sim. Se a conta Apple estiver devidamente configurada, os dados de utilização podem ser sincronizados entre dispositivos e apresentados de forma combinada.
O Screen Time é um registo completo da atividade do utilizador?+
Não. A disponibilidade, a configuração, a sincronização e os processos de eliminação devem ser tidos em conta na avaliação forense.

LanCologne – Análise forense do macOS em Colónia

Precisa de uma análise profissional dos dados relativos ao tempo de ecrã ou de utilização num Mac? A LanCologne ajuda-o a garantir um registo com valor probatório e uma avaliação técnica compreensível.

Entre em contacto connosco agora