IT-forenzika · macOS

Forenzična analiza storitev za zagon – ocena povezav med aplikacijami in dokumenti v sistemu macOS

Launch Services je sistemska komponenta macOS, namenjena upravljanju odpiranja programov, dokumentov in URL-jev. Apple med drugim opisuje dodeljevanje prednostnih programov tipom dokumentov in URL-jev, registracijo podprtih tipov datotek ter vzdrževanje vsebine menija zadnje uporabljenih elementov.

Nezavezujoča poizvedba

Za forenziko so zato storitve Launch Services zanimive kot vir konteksta za nameščene oziroma registrirane aplikacije, dodelitve datotek po tipih in določene povezave z nedavno uporabljenimi elementi. Registracija ali dodelitev pa še ne dokazuje, da je določen dokument dejansko odprla določena oseba.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Preučujemo obstoječe podatke, povezane s storitvami Launch Services, in tehnično razvrščamo registrirane aplikacije, identifikatorje paketov, tipe dokumentov oziroma URL-jev ter druge razpoložljive razvrstitve. Ustrezne ugotovitve primerjamo z nameščenimi svežnji aplikacij, metapodatki datotek, artefakti iz seznama »Recent Items«, poenoteni dnevniki in drugimi artefakti uporabe.

Pri tem se strogo razlikuje med registracijo v sistemu, prednostno dodelitvijo aplikacij in dejansko dokazljivo uporabo.

Tipična področja uporabe

•Analiza nameščenih in registriranih aplikacij
•Preučevanje povezav med dokumenti in URL-ji
•Dopolnitev raziskav o nedavnih elementih
•Rekonstrukcija kontekstov aplikacij
•Analize zlonamerne programske opreme in odzivanja na varnostne incidente
•Korelacija z dejavnostmi v zvezi z datotekami in uporabniki
•Sodna in izvensodna izvedenska mnenja

Tako poteka forenzična preiskava

Po zanesljivem varnostnem kopiranju se identificirajo razpoložljive zbirke podatkov storitve Launch Services in se uskladijo z zbirko aplikacij v sistemu. Dokumentirajo se informacije o paketih ter pripisovanja datotek in URL-jev.

Če so na voljo podatki o nedavnih elementih ali uporabi, se ti povežejo z drugimi artefakti. Iz samega dejstva, da je bila aplikacija registrirana, se ne sklepa niti na njeno izvajanje niti na konkretno dejanje uporabnika.

Zakaj je to področje preiskave forenzično pomembno?

Launch Services predstavlja pomemben del infrastrukture aplikacij in dokumentov v sistemu macOS. Ti podatki lahko pojasnijo, katera aplikacija je bila namenjena za določen tip datoteke, katere informacije o aplikaciji so bile znane sistemu ali v kakšnem kontekstu je treba razumeti druge elemente.

S forenzičnega vidika je ključno predvsem razlikovanje med konfiguracijo in uporabo. Registrirani paket aplikacij je najprej stanje sistema; za dejanski zagon ali odpiranje dokumenta so potrebni dodatni dokazi.

Pogosta vprašanja

Kaj počne Launch Services?+
Launch Services pomaga sistemu macOS pri odpiranju aplikacij, dokumentov in spletnih naslovov ter pri dodeljevanju prednostnih aplikacij.
Ali lahko Launch Services upravlja s podatki o nedavnih elementih?+
Da. Apple navaja, da lahko Launch Services vzdržuje in posodablja vsebino menija »Nedavni elementi«.
Ali registrirana aplikacija dokazuje, da je bila izvedena?+
Ne. Registracija in dejansko izvedba sta dve različni stvari.
Ali lahko storitev »Launch Services« pomaga pri forenzični analizi dokumentov?+
Da, zlasti kot kontekst za dodeljevanje datotek in aplikacij; konkretna uporaba pa mora biti podprta z dodatnimi elementi.

LanCologne – Forenzika sistema macOS v Kölnu

Potrebujete strokovno analizo podatkov o storitvah zagona in dodelitvi aplikacij? LanCologne vam pomaga pri sodno veljavnem varovanju podatkov in pregledni tehnični razvrstitvi.

Stopite v stik zdaj