IT-forensik · macOS

Forensisk analys av APFS-filsystemet – grunden för moderna macOS-utredningar

Apple File System (APFS) har sedan macOS 10.13 varit standardfilsystemet för moderna Mac-system. Det har utvecklats för flash- och SSD-lagring och stöder bland annat Copy-on-Write-metadata, Space Sharing, kloner, ögonblicksbilder och kryptering. Ur ett kriminaltekniskt perspektiv är därför kunskap om APFS-strukturen en viktig förutsättning för en korrekt undersökning av aktuella macOS-system.

Begär en icke-bindande offert

Bei startfähigen Macs besteht ein APFS-Container seit macOS 10.15 typischerweise aus mehreren logisch zusammengehörenden Volumes. Neben System- und Data-Volume können unter anderem Preboot-, Recovery- und VM-Volumes vorhanden sein. Seit macOS 11 wird das Betriebssystem regulär von einem Snapshot des System-Volumes gestartet. Diese Architektur muss bei der Sicherung und Auswertung berücksichtigt werden, weil benutzerveränderliche Daten und geschützte Systembestandteile nicht mehr in einem einzigen klassischen Dateisystem-Volume zusammenliegen.

Eine APFS-Analyse wird nicht auf einzelne Dateifunde reduziert. Container- und Volume-Strukturen, Volume-Rollen, Snapshots, Dateisystemmetadaten, Zeitinformationen und die Zuordnung zu weiteren macOS-Artefakten werden gemeinsam bewertet. Bei verschlüsselten Systemen sind zudem FileVault, Secure-Enclave-gebundene Schlüsselmechanismen und die konkrete Gerätegeneration zu berücksichtigen. Aussagen zur Wiederherstellbarkeit gelöschter Inhalte müssen insbesondere bei SSDs wegen Verschlüsselung, TRIM und bereits überschriebenen Speicherbereichen zurückhaltend und einzelfallbezogen getroffen werden.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Die Untersuchung von macOS-Systemen erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Våra tjänster

Wir analysieren APFS-Container und -Volumes, Volume-Rollen, Dateisystemmetadaten, vorhandene APFS-Snapshots sowie die logische Zuordnung zwischen System- und Data-Volume. Abhängig von Gerät, macOS-Version und Datenlage werden relevante Strukturen mit Benutzer-, System-, Anwendungs- und Protokolldaten korreliert. Bei aktivem FileVault wird zunächst bewertet, ob und unter welchen rechtlich und technisch zulässigen Voraussetzungen ein Zugriff auf die verschlüsselten Nutzdaten möglich ist. Ziel ist eine nachvollziehbare technische Rekonstruktion auf Grundlage tatsächlich vorhandener Artefakte.

Typiska användningsområden

•Rekonstruktion von Datei- und Benutzeraktivitäten
•Untersuchung gelöschter oder verschobener Dateien
•Analyse von APFS-Snapshots
•Bewertung von System- und Data-Volumes
•Anklagelser om datastöld och manipulation
•Incident Response auf macOS-Systemen
•Rättsliga och utomrättsliga utlåtanden

So läuft eine APFS-forensische Untersuchung ab

Nach der beweissicheren Erfassung des Datenträgers beziehungsweise der technisch verfügbaren forensischen Datenquelle wird zunächst die APFS-Struktur bestimmt. Dabei werden Container, Volumes, Volume-Rollen, Verschlüsselungsstatus und vorhandene Snapshots dokumentiert. Anschließend werden die relevanten Dateisysteminformationen mit weiteren macOS-Artefakten korreliert. Je nach Mac-Modell und Sicherheitskonfiguration kann die Art der Datenerhebung erheblich variieren; insbesondere Apple-Silicon- und T2-Systeme erfordern eine Bewertung der vorhandenen Zugriffsmöglichkeiten, bevor Nutzdaten untersucht werden können. Sämtliche Untersuchungsschritte und technischen Einschränkungen werden nachvollziehbar dokumentiert.

Warum ist die APFS-Analyse so wichtig?

APFS bildet auf aktuellen Mac-Systemen die technische Grundlage für die Speicherung von Betriebssystem-, Benutzer- und Anwendungsdaten. Die Trennung in Volume-Gruppen, Snapshots und moderne Verschlüsselungsmechanismen unterscheidet sich deutlich von älteren HFS+-Systemen. Eine fehlerhafte Interpretation dieser Strukturen kann zu falschen zeitlichen oder inhaltlichen Schlussfolgerungen führen. Deshalb werden APFS-Artefakte nicht isoliert, sondern stets gemeinsam mit den relevanten macOS-Protokollen, Benutzerartefakten und Anwendungsdaten bewertet.

Vanliga frågor

Vad är APFS?+
APFS ist das Apple File System und seit macOS 10.13 das Standarddateisystem für moderne Mac-Systeme.
Kommer det ursprungliga systemet att undersökas?+
Nein. Die Untersuchung erfolgt grundsätzlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer anderweitig beweissicher erfassten forensischen Datenquelle.
Können gelöschte Dateien auf APFS immer wiederhergestellt werden?+
Nein. Die Möglichkeiten hängen unter anderem von Verschlüsselung, Gerätetyp, SSD-TRIM, Überschreibung und der konkreten APFS-Struktur ab. Eine Wiederherstellung kann insbesondere auf modernen verschlüsselten SSD-Systemen stark eingeschränkt oder unmöglich sein.
Welche Bedeutung haben APFS-Snapshots?+
Snapshots sind schreibgeschützte Zustände eines APFS-Volumes zu einem bestimmten Zeitpunkt. Wenn geeignete Snapshots vorhanden sind, können sie zusätzliche Informationen für die zeitliche und inhaltliche Rekonstruktion liefern.

LanCologne – macOS-forensik i Köln

Sie benötigen eine professionelle forensische Analyse eines Mac-Systems oder APFS-Datenträgers? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter macOS- und APFS-Artefakte.

Kontakta oss nu