IT-forensik · macOS

Forensisk analys av macOS-shellhistoriken – undersöka terminal- och kommandoaktiviteter

Kommandoraden är en viktig plattform för administration och arbete i macOS. I modernare versioner av macOS används zsh som standard för nyupprättade användare; äldre system och individuellt konfigurerade konton kan använda andra skal. Beroende på skal och konfiguration kan historikfilerna innehålla uppgifter om inmatade kommandon.

Begär en icke-bindande offert

En Shell-historik är inte en fullständig revisionslogg. Kommandon kan ha utelämnats från loggen, historikfiler kan ha ändrats eller raderats, och kommandon kan ha körts via skript eller andra processer.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi undersöker användarspecifika shell-konfigurationer och befintliga historikdata för att hitta kommandon, sökvägar och verktyg som är relevanta för ärendet. Resultaten korreleras med förändringar i filsystemet, Unified Logs, skript och andra systemartefakter.

Den använda skalet och dess specifika historikkonfiguration fastställs innan tolkningen påbörjas.

Typiska användningsområden

•Rekonstruktion av administrativa order
•Incidenthantering och analys av skadlig programvara
•Undersökning av raderings- och manipuleringskommandon
•Granskning av användningen av skript och verktyg
•Utredningar av insiders och administratörer
•Korrelation med fil- och processhändelser
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Efter säkerhetskopieringen identifieras inloggningsskalet, konfigurationsfilerna och befintliga historikfiler för det aktuella kontot. Kommandona analyseras i sitt sammanhang och – i den mån tidsinformation finns tillgänglig – placeras i den övergripande tidslinjen.

En loggpost betraktas inte automatiskt som bevis på att ett kommando har utförts framgångsrikt. Kommandots verkan och resultat kontrolleras med hjälp av ytterligare bevis.

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

Shell-historiken kan vara mycket upplysande vid tekniska attacker eller administrativa ingrepp. Den kan synliggöra konkreta kommandosekvenser som annars endast skulle kunna rekonstrueras indirekt.

Eftersom de kan manipuleras och eventuellt vara ofullständiga är det absolut nödvändigt att göra en oberoende korrelationsanalys.

Vanliga frågor

Vilken skal använder macOS som standard?+
I nyare versioner av macOS är zsh standardskalet för nyupprättade användare; äldre eller anpassade konton kan vara konfigurerade på ett annat sätt.
Sparas varje terminalkommando i historiken?+
Nej. Det beror på Shell, konfigurationen och användarens beteende.
Visar en historikpost att ett kommando genomfördes framgångsrikt?+
Nej. Den faktiska utformningen och effekten måste undersökas med hjälp av ytterligare artefakter.
Kan Shell-historiken raderas eller ändras?+
Ja. Därför bedöms den inte isolerat som ett fullständigt revisionsprotokoll.

LanCologne – macOS-forensik i Köln

Behöver du en professionell utredning av terminal- och shell-aktiviteter på en Mac? LanCologne hjälper dig med att skapa rättsligt giltiga säkerhetskopior och genomföra en spårbar rekonstruktion.

Kontakta oss nu