IT-forenzika · macOS

Forenzična analiza datotek Plist v macOS – analiza konfiguracij in stanj

Seznami lastnosti, skrajšano »plisti«, so osnovni format podatkov v sistemu macOS in aplikacijah podjetja Apple. Vsebujejo lahko nastavitve, stanja in druge strukturirane informacije ter so na voljo tako v formatu XML kot tudi v binarnem formatu seznama lastnosti.

Nezavezujoča poizvedba

V forenziki so plisti pogosto dragoceni viri konteksta. Vendar je pomen posameznih ključev odvisen od konkretne aplikacije, različice macOS in načina izvedbe. Neznanih polj se ne sme razlagati zgolj na podlagi njihovih imen.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Prepoznamo datoteke »Property List«, ki so pomembne za posamezen primer, ter analiziramo njihovo strukturo, ključe in vrednosti v okviru zadevne aplikacije ali sistema. Binarne datoteke »Plist« se strokovno dekodirajo, ne da bi se pri tem spremenil izvirnik.

Podatki o času in stanju se usklajujejo z metapodatki datotečnega sistema, poenotenimi dnevniki in drugimi artefakti.

Tipična področja uporabe

•Analiza uporabniških in sistemskih nastavitev
•Raziskava o preferencah pri uporabi
•Preiskave zlonamerne programske opreme in vztrajnosti
•Obnova sprememb konfiguracije
•Preverjanje binarnih in XML-osnovanih plistov
•Korelacija s podatki iz datotečnega sistema in dnevniških zapisov
•Sodna in izvensodna izvedenska mnenja

Tako poteka forenzična preiskava

Po varnostnem kopiranju se na podlagi zastavljenega vprašanja izberejo ustrezni plisti in se strukturno analizirajo. Tipi podatkov, ključi in vrednosti se dokumentirajo ter – če je to potrebno – primerjajo z informacijami o različicah ustrezne aplikacije.

Nedokumentirani ključi se vsebinsko ocenijo le, če je njihov pomen zanesljivo podprt z dodatnimi tehničnimi dokazi.

Zakaj je to področje preiskave forenzično pomembno?

Plisti se pojavljajo v skoraj vseh področjih forenzike sistema macOS. Z njimi je mogoče dokumentirati pomembne konfiguracijske nastavitve in pojasniti druge artefakte.

Hkrati obstaja veliko tveganje napačne interpretacije, če se ključe razlagajo brez poznavanja zadevne različice programske opreme ali implementacije.

Pogosta vprašanja

Kaj je datoteka Plist?+
Seznam lastnosti (Property List) je strukturiran podatkovni format, ki ga macOS in številne aplikacije uporabljajo za nastavitve in druge podatke.
Ali obstajajo binarne plist datoteke?+
Da. Seznami lastnosti so lahko med drugim v formatu XML in v binarnem formatu.
Ali je mogoče vsak ključ v datoteki Plist nedvoumno razlagati?+
Ne. Pomen in uporaba sta odvisna od namena in različice.
Ali so plisti sami po sebi dokaz za dejanja uporabnikov?+
Ne nujno. Mnoge vrednosti opisujejo konfiguracijo ali stanje in jih je treba povezati z artefakti dejavnosti.

LanCologne – Forenzika sistema macOS v Kölnu

Potrebujete strokovno analizo datotek »Property List« v sistemu macOS? Podjetje LanCologne vam pomaga pri sodno veljavnem pridobivanju dokazov in tehnično utemeljeni analizi.

Stopite v stik zdaj