IT-forensik · macOS

Forensisk analys av macOS Unified Logs – rekonstruera systemhändelser och aktiviteter

Unified Logging System är en central loggningsinfrastruktur i moderna Apple-operativsystem. I macOS kan man via detta system registrera meddelanden och aktiviteter från ett stort antal systemkomponenter och processer. Apples Console-program visar bland annat loggmeddelanden, aktiviteter och rapporter och gör det möjligt att söka efter relevanta händelser.

Begär en icke-bindande offert

Inom kriminaltekniken kan samordnade loggar ge viktiga tidsmässiga och tekniska sammanhang. Vilken information som faktiskt finns tillgänglig beror dock på macOS-versionen, loggningsbeteendet, lagringstiden, integritetsskyddsmekanismerna och den process som undersöks. Inte varje användaråtgärd genererar en användbar loggpost.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi analyserar befintliga Unified Log-data på den forensiska arbetskopian och filtrerar dem utifrån den specifika frågeställningen. Relevanta tidsstämplar, processer, delsystem, kategorier och meddelandetexter dokumenteras och korreleras med ytterligare macOS-artefakter.

Loggmeddelanden tolkas inte isolerat som bevis på en användares handling. Det avgörande är om en teknisk händelse kan bekräftas av flera oberoende spår och placeras i en tidsmässigt konsekvent ordning.

Typiska användningsområden

•Rekonstruktion av system- och processhändelser
•Incidenthantering på macOS
•Undersökning av misstänkta programaktiviteter
•Analys av inloggnings- och systemprocesser
•Tidsmässig korrelation mellan tekniska händelser
•Stöd vid analyser av skadlig programvara och persistens
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Efter att data har samlats in på ett tillförlitligt sätt identifieras de tillgängliga Unified Log-datamängderna och analyseras för den relevanta undersökningsperioden. Filtreringen baseras på tidsfönster, processer, delsystem, kategorier och fallspecifika söktermer.

Träffarna jämförs därefter med data från filsystemet, FSEvents, applikationsdata, användarinformation och andra loggkällor. Vid detta beaktas tidszoner, tidsstämpelns sammanhang och eventuella dataluckor. Dokumentationen gör en tydlig åtskillnad mellan loggade tekniska händelser och de slutsatser som får dras utifrån dessa.

Varför är denna föremål av kriminalteknisk betydelse?

Unified Logs kan ge en detaljerad inblick i de tekniska processerna i ett macOS-system och är särskilt värdefulla vid tidspressade utredningar, incidenthantering och analys av processaktiviteter.

Deras bevisvärde är dock beroende av händelsen. Avsaknaden av rapporter bevisar inte att en händelse inte har inträffat. På samma sätt kan en enskild rapport utan sammanhang vara missvisande. En tillförlitlig kriminalteknisk bedömning uppnås därför oftast först genom korrelation med ytterligare spår.

Vanliga frågor

Vad är macOS Unified Logs?+
De ingår i Apples centrala loggningsinfrastruktur och innehåller meddelanden och aktiviteter från olika systemkomponenter och processer.
Lagras all användaraktivitet där?+
Nej. Omfattning och innehåll beror på den aktuella komponenten, macOS-versionen, lagringsförhållandena och andra tekniska faktorer.
Kan Unified Logs användas för en tidslinje?+
Ja, relevanta händelser kan placeras i en tidsmässig ordning. De bör dock korreleras med andra fynd.
Är en saknad loggpost ett bevis på att något inte har inträffat?+
Nej. Utan ytterligare tekniska belägg kan man inte dra någon säker negativ slutsats av att en uppgift saknas.

LanCologne – macOS-forensik i Köln

Behöver ni en professionell utvärdering av macOS Unified Logs? LanCologne hjälper er med att skapa rättsligt giltiga säkerhetskopior och genomföra en spårbar analys av relevanta system- och processhändelser.

Kontakta oss nu