IT-forenzika · macOS

Forenzična analiza časa uporabe zaslona – razvrstitev uporabe aplikacij in spletnih strani v sistemu macOS

Funkcija »Screen Time« je od macOS 10.15 del sistema macOS in lahko zagotavlja podatke o uporabi aplikacij, spletnih strani in drugih dejavnostih na napravi. Apple med drugim opisuje poročila o uporabi aplikacij in spletnih strani, obvestilih ter dejavnostih na napravi. Glede na nastavitve se lahko podatki Screen Time sinhronizirajo tudi med napravami istega Apple računa.

Nezavezujoča poizvedba

Za forenzične namene lahko obstoječi podatki o času uporabe zaslona (Screen Time) nudijo namige o uporabi določenih aplikacij ali spletnih strani v določenem časovnem obdobju. Vendar jih ne smemo razumeti kot popoln zapis dejavnosti. Funkcija »Screen Time« mora biti aktivirana oziroma ustrezno nastavljena, podatki se lahko združijo med različnimi napravami, Apple pa opozarja, da se ob izbrisu zgodovine brskanja v Safari ali izbrisu aplikacije lahko izbrišejo tudi z njimi povezani podatki o uporabi.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Preverimo, ali so podatki o času uporabe zaslona na forenzičnem viru podatkov na voljo in ali jih je mogoče analizirati za zadevnega uporabnika oziroma zadevno časovno obdobje. Razpoložljive informacije o uporabi razvrstimo po aplikacijah, spletnih straneh, časovnih obdobjih in napravah.

Rezultati se primerjajo z artefakti brskalnika, združenimi dnevniki, podatki o aplikacijah in drugimi časovnimi sledmi. Prikazana doba uporabe se brez preverjanja ne pripiše določenemu vedenju uporabnika, zlasti če je bila funkcija »Screen Time« sinhronizirana med različnimi napravami.

Tipična področja uporabe

•Rekonstrukcija uporabe aplikacij in spletnih strani
•Časovna omejitev dejavnosti uporabnikov
•Preučevanje obdobij dela in uporabe
•Korelacija z artefakti brskalnika in aplikacij
•Preverjanje navodil za uporabo na različnih napravah
•Dopolnitev obstoječih časovnic v sistemu macOS
•Sodna in izvensodna izvedenska mnenja

Tako poteka forenzična preiskava

Po zanesljivem pridobivanju dokazov se najprej preveri, ali je bila funkcija »Screen Time« aktivirana in kateri podatki so na voljo. Nato se izluščijo relevantne informacije o uporabi in se jih pripišejo posamezni aplikaciji, spletni strani, časovnemu obdobju ter – če je to tehnično mogoče – napravi.

Posebno pozornost je treba nameniti morebitni sinhronizaciji med več napravami Apple. Apple omogoča prikaz tako statističnih podatkov posameznih naprav kot tudi združenih podatkov o uporabi. Zato se pred kakršnim koli zaključkom v zvezi s časom ali posamezniki preveri, ali je ugotovitev dejansko mogoče pripisati preučevanemu računalniku Mac.

Zakaj je to področje preiskave forenzično pomembno?

Screen Time lahko klasično analizo artefaktov v sistemu macOS dopolni z informacijami o uporabi. Zlasti pri ugotavljanju, ali je bila aplikacija ali spletna stran uporabljena v določenem časovnem obdobju, lahko obstoječi podatki ponudijo dodatno vodilo.

Zanesljivost teh podatkov ima jasne omejitve: Screen Time ni forenzični revizijski dnevnik, lahko je onemogočen, podatki pa se lahko sinhronizirajo ali izbrišejo. Zanesljive ugotovitve je zato mogoče pridobiti šele s korelacijo z neodvisnimi sledi.

Pogosta vprašanja

Od kdaj je na Macu na voljo funkcija »Screen Time«?+
Apple opisuje funkcijo Screen Time za macOS 10.15 in novejše različice.
Katere informacije lahko prikaže funkcija »Čas pred zaslonom«?+
Med drugim uporaba aplikacij in spletnih strani ter – odvisno od različice in naprave – dodatne statistike o uporabi.
Ali lahko podatki o času uporabe zaslona izvirajo iz več naprav?+
Da. Če je Appleov račun ustrezno nastavljen, se lahko podatki o uporabi sinhronizirajo med napravami in prikažejo združeno.
Ali je »Screen Time« popoln zapis uporabe?+
Ne. Pri forenzični analizi je treba upoštevati razpoložljivost, konfiguracijo, sinhronizacijo in postopke brisanja.

LanCologne – Forenzika sistema macOS v Kölnu

Potrebujete strokovno preiskavo podatkov o času uporabe zaslona ali podatkov o uporabi na računalniku Mac? LanCologne vam pomaga pri pridobivanju dokazov, ki so sprejemljivi za sodišče, in pri pregledni tehnični analizi.

Stopite v stik zdaj