IT-forensik · macOS

Forensisk analys av skärmtid – kartlägga användningen av appar och webbplatser i macOS

Screen Time har varit en del av macOS sedan version 10.15 och kan tillhandahålla information om användningen av appar, webbplatser och annan enhetsaktivitet. Apple beskriver bland annat rapporter om app- och webbplatsanvändning, aviseringar och enhetsaktivitet. Beroende på konfigurationen kan Screen Time-data dessutom synkroniseras mellan enheter som är kopplade till samma Apple-konto.

Begär en icke-bindande offert

För kriminaltekniska undersökningar kan befintliga Screen Time-data ge ledtrådar om användningen av vissa appar eller webbplatser under en viss tidsperiod. De ska dock inte betraktas som en fullständig aktivitetslogg. Skärmtid måste vara aktiverat respektive korrekt konfigurerat, data kan sammanföras mellan olika enheter och Apple påpekar att när man raderar Safari-historiken eller en app kan tillhörande användningsdata komma att raderas.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi kontrollerar om det finns uppgifter om skärmtid i den forensiska datakällan och om dessa kan analyseras för den aktuella användaren respektive tidsperioden. Tillgänglig användningsinformation sorteras efter applikation, webbplats, tidsperiod och enhet.

Resultaten jämförs med webbläsarinformation, samlade loggar, applikationsdata och andra tidsrelaterade spår. En visad användningstid tillskrivs inte ett visst användarbeteende utan granskning, särskilt inte om Screen Time har synkroniserats mellan olika enheter.

Typiska användningsområden

•Rekonstruktion av användningen av appar och webbplatser
•Tidsbegränsning av användaraktiviteter
•Undersökning av arbets- och användningsperioder
•Korrelation med artefakter från webbläsare och applikationer
•Granskning av användarinstruktioner som gäller för flera enheter
•Komplettering av befintliga tidslinjer i macOS
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Efter att säkerhetskopian har skapats kontrolleras först om Screen Time var aktiverat och vilka data som finns tillgängliga. Därefter extraheras relevant användningsinformation och kopplas till respektive app, webbplats, tidsperiod och – i den mån det är tekniskt möjligt – till enheten.

Särskild uppmärksamhet ägnas åt möjligheten till synkronisering mellan flera Apple-enheter. Apple tillåter både visning av statistik för enskilda enheter och sammanställd användningsstatistik. Därför kontrolleras det, innan någon slutsats dras avseende tidsmässiga eller personrelaterade aspekter, om resultatet verkligen kan hänföras till den undersökta Mac-datorn.

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

Screen Time kan komplettera en klassisk analys av macOS-data med information om användningen. Särskilt när det gäller frågan om en applikation eller webbplats har använts inom ett visst tidsintervall kan befintliga data ge ytterligare ledtrådar.

Informationsvärdet har tydliga begränsningar: Screen Time är ingen forensisk logg, den kan vara inaktiverad och data kan synkroniseras eller raderas. Tillförlitliga slutsatser kan därför endast dras genom korrelation med oberoende spår.

Vanliga frågor

Sedan när finns Screen Time på Mac?+
Apple beskriver funktionen Screen Time för macOS 10.15 och senare.
Vilken information kan Screen Time visa?+
Bland annat användning av appar och webbplatser samt – beroende på version och enhet – ytterligare användningsstatistik.
Kan skärmtidsdata komma från flera enheter?+
Ja. Om Apple-kontot är konfigurerat på rätt sätt kan användningsdata synkroniseras mellan enheterna och visas sammanställda.
Är Screen Time en fullständig användarlogg?+
Nej. Tillgänglighet, konfiguration, synkronisering och raderingsåtgärder måste beaktas vid den kriminaltekniska utredningen.

🔗 Relaterade ämnen

LanCologne – macOS-forensik i Köln

Behöver ni en professionell analys av skärmtid eller användningsdata på en Mac? LanCologne hjälper er med att säkerhetskopiera data på ett sätt som håller i domstol och med en spårbar teknisk utvärdering.

Kontakta oss nu