IT-forensik · macOS

Forensisk analys av macOS-plist-filer – utvärdering av konfigurationer och tillstånd

Property Lists, kort sagt Plists, är ett grundläggande dataformat i macOS och Apples program. De kan innehålla inställningar, tillstånd och annan strukturerad information och förekomma både i XML-format och i det binära Property List-formatet.

Begär en icke-bindande offert

Inom kriminaltekniken är plist-filer ofta värdefulla källor till sammanhang. Betydelsen av enskilda nycklar är dock beroende av den aktuella applikationen, macOS-versionen och implementeringen. Okända fält får inte tolkas enbart utifrån deras namn.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi identifierar fallrelevanta Property List-filer och analyserar deras struktur, nycklar och värden i respektive applikations- eller systemkontext. Binära Plists avkodas på ett fackmässigt sätt utan att originalet ändras.

Tids- och tillståndsinformation jämförs med filsystemets metadata, Unified Logs och andra artefakter.

Typiska användningsområden

•Analys av användar- och systeminställningar
•Undersökning av användningspreferenser
•Undersökningar av skadlig programvara och persistens
•Rekonstruktion av konfigurationsändringar
•Kontroll av binära och XML-baserade plist-filer
•Korrelation med filsystem- och loggdata
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Efter säkerhetskopieringen väljs relevanta plist-filer ut utifrån frågeställningen och analyseras strukturellt. Datatyper, nycklar och värden dokumenteras och jämförs – vid behov – med versionsinformationen för den tillhörande applikationen.

Odokumenterade nycklar utvärderas endast innehållsmässigt om deras betydelse stöds på ett tillförlitligt sätt av ytterligare tekniska bevis.

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

Plists förekommer inom nästan alla områden av macOS-forensik. De kan dokumentera viktiga konfigurationsinställningar och bidra till att förklara andra artefakter.

Samtidigt finns det en stor risk för felaktiga tolkningar om nycklarna tolkas utan kännedom om den aktuella programvaruversionen eller implementeringen.

Vanliga frågor

Vad är en Plist-fil?+
En Property List är ett strukturerat dataformat som används av macOS och många program för inställningar och annan data.
Finns det binära plists?+
Ja. Egenskapslistor kan bland annat finnas i XML- och binärt format.
Kan varje Plist-nyckel tolkas entydigt?+
Nej. Betydelsen och användningen beror på tillämpningen och versionen.
Är plist-filer i sig själva ett bevis på användarens handlingar?+
Inte nödvändigtvis. Många värden beskriver konfiguration eller tillstånd och måste korreleras med aktivitetsartefakter.

LanCologne – macOS-forensik i Köln

Behöver ni en professionell analys av macOS-property-list-filer? LanCologne hjälper er med en rättsligt hållbar säkerhetskopiering och en tekniskt tillförlitlig utvärdering.

Kontakta oss nu