Esta visão geral reúne todas as perguntas e respostas sobre informática forense para macOS no LanCologne – desde Macs com Apple Silicon e Intel, passando pelo sistema de ficheiros, encriptação e configuração do sistema, até aos vestígios de rede, de aplicações e de dados do utilizador, bem como às ferramentas forenses utilizadas. Clique numa categoria para ver as perguntas correspondentes.
Modelos de hardware e métodos de segurança
- Fazer uma cópia de segurança forense de um Mac com Apple Silicon
- Fazer uma cópia de segurança forense de um Mac Intel sem T2
- Fazer uma cópia de segurança forense de um Mac Intel com o chip de segurança T2
- Fazer uma cópia de segurança forense do iMac e analisar os dados
- Cópia de segurança forense e análise do Mac mini
- Fazer uma cópia de segurança forense do Mac Studio e analisá-la
- Cópia de segurança forense e análise do MacBook Pro
- Fazer uma cópia de segurança forense e analisar um MacBook Air
- Cópia de segurança forense e análise do Mac Pro
- Utilização forense do Apple Silicon Share Disk
- Utilização forense do Modo de Disco Alvo da Intel
- Utilizar o macOS Recovery na criação de cópias de segurança forenses
- Fazer uma cópia de segurança forense de um Mac desbloqueado em funcionamento
- Transferir dados de um Mac desligado de forma segura
- Fazer uma cópia de segurança forense de um Mac encriptado
- Fazer cópias de segurança de dispositivos de armazenamento externos da Apple de forma a garantir a validade das provas
- Verificar imagens forenses do Mac com valores de hash
- Documentar a cadeia de custódia das provas recolhidas com o Mac
- Minimizar os acessos de escrita nas investigações em Mac
Ferramentas e metodologia forenses
- Distinguir entre a triagem do Mac e a análise forense completa
- Realizar a aquisição de dados do Mac com o SUMURI RECON ITR
- Realizar a triagem de Mac com o SUMURI RECON ITR
- Analisar provas do macOS com o SUMURI RECON LAB
- Analisar os metadados alargados da Apple com o RECON LAB
- Analisar provas APFS com o Belkasoft X
- Correlacionar as linhas temporais do macOS com o Belkasoft X
- Analisar em profundidade o APFS com o X-Ways Forensics
- Analisar dados apagados do Mac com o X-Ways Forensics
- Utilizar o X-Tensions para análises especializadas no Mac
- Verificar os resultados do Mac com várias ferramentas forenses
- Utilizar ferramentas próprias para artefactos raros do macOS
- Correlacionar registos unificados com ferramentas próprias
- Criar uma cronologia completa do macOS a partir de vários artefactos
- Detetar erros de análise e falsos positivos na análise forense de Mac
- Garantir a reprodutibilidade de um exame realizado num Mac
- Documentação forense do macOS com validade judicial
- Por que razão a análise forense de Mac requer várias ferramentas e uma verificação manual
Sistema de ficheiros, encriptação e cópia de segurança forense
- Análise forense do sistema de ficheiros APFS – Base das investigações modernas no macOS
- Análise forense de instantâneos APFS – investigação de estados anteriores do sistema de ficheiros
- Análise forense de grupos de volumes APFS – Atribuir corretamente os dados do sistema e dos utilizadores
- Análise forense do FileVault – Avaliação do estado da encriptação e das possibilidades de acesso
- Classificação forense do Secure Enclave – Avaliar corretamente os mecanismos de segurança ligados ao hardware
- Análise forense de FSEvents – Reconstruir alterações no sistema de ficheiros no macOS
- Analisar forensicamente instantâneos do Time Machine – Investigar versões anteriores de ficheiros no macOS
- Analisar forensicamente a base de dados KnowledgeC do macOS
- Análise forense dos metadados do Spotlight – Análise das informações indexadas sobre ficheiros e conteúdos
- Verificar manualmente os metadados do APFS
- Análise forense de volumes externos no macOS
- Analisar imagens de disco do macOS do ponto de vista forense
- Correlacionar de forma aprofundada e forense o histórico do FSEvents no macOS
- Análise forense dos atributos estendidos do macOS
Rede e comunicação
- Análise forense dos Serviços de Localização – Avaliação técnica das informações de localização de um Mac
- Analisar localizações significativas do ponto de vista forense – Classificar locais significativos no macOS de forma adequada
- Análise forense de redes Wi-Fi no macOS – Reconstruir as ligações de rede de um Mac
- Análise forense do Bluetooth no macOS – classificação técnica dos dispositivos emparelhados e detetados
- Análise forense das extensões de rede do macOS
- Análise forense do Firewall do macOS
- Analisar forensicamente os artefactos da VPN no macOS
- Análise forense da configuração de DNS e proxy no macOS
- Análise forense da partilha de ecrã e da gestão remota no macOS
- Análise forense do iCloud Drive no macOS
- Análise forense do AirDrop no macOS
- Análise forense do Handoff e do Continuity no macOS
- Analisar forensicamente o ficheiro «hosts» do macOS
- Análise forense das interfaces de rede do macOS
- Análise forense de artefactos DHCP no macOS
- Classificação forense das pistas ARP e Neighbor no macOS
- Análise forense de impressoras e do sistema de impressão do macOS
- Análise forense de artefactos do CUPS no macOS
Configuração do sistema e de segurança
- Análise forense dos registos unificados do macOS – Reconstruir eventos e atividades do sistema
- Análise forense de LaunchAgents e LaunchDaemons – Investigação da persistência no macOS
- Analisar forensicamente os itens de início de sessão e os serviços em segundo plano – Reconstruir os arranques automáticos de programas
- Validar manualmente os artefactos SQLite, WAL e SHM
- Validar manualmente os dados do Plist e do NSKeyedArchiver
- Análise forense de gatekeepers e quarentena – Avaliar a origem e a execução do software
- Análise forense do XProtect – Classificação técnica da proteção integrada contra malware da Apple
- Análise forense das autorizações de privacidade do macOS – Avaliar o acesso das aplicações a recursos protegidos
- Análise forense dos Serviços de Inicialização – Avaliar as associações de aplicações e documentos no macOS
- Análise forense de relatórios de falhas do macOS – Investigação de falhas de processos e informações de diagnóstico
- Análise forense de ficheiros Plist do macOS – Avaliação de configurações e estados
- Análise forense de bases de dados SQLite no macOS – Avaliação conjunta da base de dados, do WAL e do SHM
- Análise forense do Keychain do macOS
- Análise forense de certificados e definições de confiança do macOS
- Analisar perfis de configuração do macOS do ponto de vista forense
- Análise forense de artefactos MDM do macOS
- Analisar forensicamente as extensões do sistema do macOS
- Análise forense das extensões do kernel do macOS
- Analisar forensicamente a base de dados TCC do macOS
- Analisar forensicamente a base de dados de privacidade do macOS relativa às autorizações das aplicações
- Analisar forensicamente a base de dados de eventos de quarentena do macOS
- Analisar forensicamente a origem dos downloads do macOS e o WhereFroms
Terminal, Shell, scripts e instalação de software
- Analisar forensicamente os artefactos do Terminal do macOS
- Análise forense de artefactos do Zsh no macOS
- Analisar forensicamente os artefactos do Bash no macOS
- Análise forense de artefactos do Sudo no macOS
- Análise forense do Cron do macOS e das tarefas periódicas
- Analisar forensicamente os pacotes de instalação do macOS
- Analisar forensicamente o histórico de instalações do macOS
- Análise forense de artefactos da atualização de software do macOS
- Analisar forensicamente os artefactos da App Store do macOS
- Análise forense de artefactos do Homebrew no macOS
- Análise forense de ambientes Python no macOS
- Análise forense do Automator e dos atalhos do macOS
Aplicações, Finder e dados do utilizador
- Análise forense do Screen Time – Classificar a utilização de aplicações e sites no macOS
- Analisar forensicamente os itens recentes – reconstruir indícios sobre os objetos utilizados mais recentemente
- Análise forense de contas de utilizador no macOS – Compreender as estruturas dos utilizadores e das contas
- Análise forense de artefactos de início de sessão no macOS – Reconstrução dos processos de início de sessão e de sessão
- Analisar forensicamente o histórico do Safari – Reconstruir as atividades na Web no macOS
- Analisar forensicamente os downloads do Safari – Investigar a origem dos ficheiros descarregados
- Análise forense da Lixeira do macOS – investigar ficheiros eliminados e movidos
- Análise forense de dispositivos USB no macOS – investigação de dispositivos externos e suportes de dados
- Análise forense da aplicação «Notícias» do macOS
- Análise forense do macOS Mail
- Análise forense do Calendário do macOS
- Análise forense dos contactos do macOS
- Análise forense das Notas do macOS
- Análise forense de pacotes de aplicações do macOS e da assinatura de código
- Analisar forensicamente os artefactos do Finder do macOS
- Análise forense de ficheiros .DS_Store no macOS
- Analisar arquivos de alias do macOS do ponto de vista forense
- Análise forense dos marcadores do macOS e dos marcadores com âmbito de segurança
Outras questões
- Análise forense do histórico do shell do macOS – Investigação das atividades do Terminal e dos comandos
- Análise forense do SSH no macOS – Investigação de registos de início de sessão remoto e de chaves
- Analisar forensicamente o contentor de sandbox de uma aplicação do macOS
- Análise forense dos Group Containers do macOS
- Análise forense das Preferências do macOS e das CFPreferences
- Análise forense de artefactos do NSUserDefaults no macOS
- Análise forense do estado guardado das aplicações no macOS
- Analisar forensicamente os artefactos do macOS Resume
- Analisar forensicamente os artefactos do QuickLook do macOS
- Análise forense das caches de miniaturas e pré-visualizações do macOS
- Análise forense do Centro de Notificações do macOS