IT-forensik · macOS

Forensisk analys av sparat programtillstånd i macOS

macOS Saved Application State kann in einer macOS-forensischen Untersuchung relevante technische Spuren liefern. Gespeicherte Anwendungszustände untersuchen und prüfen, welche Informationen zu geöffneten Fenstern, Dokumentbezügen oder Sitzungszuständen erhalten geblieben sind.

Begär en icke-bindande offert

Bevisvärdet beror på den specifika artefakten, macOS-versionen, dess skick och sambandet med oberoende spår. Enskilda databasposter eller metadata tolkas därför inte isolerat som bevis för en viss användaråtgärd.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Bei der Untersuchung von „macOS Saved Application State“ werden die relevanten Dateien, Datenbanken, Metadaten und gegebenenfalls zugehörigen Protokollinformationen auf einer forensischen Arbeitskopie ausgewertet. Speicherort, Dateisystemkontext, Zeitbezüge und Beziehungen zu weiteren Artefakten werden dokumentiert.

I den mån format eller lagringsplatser skiljer sig åt mellan olika macOS-versioner beaktas detta vid analysen. Slutsatser dras uteslutande på grundval av faktiskt förekommande och tekniskt verifierbara spår.

Typiska användningsområden

•Rättsliga och utomrättsliga utlåtanden
•Rekonstruktion av användar- och applikationsaktiviteter
•Incidenthantering och utredningar av säkerhetsöverträdelser
•Granskning av säkerhetsrelevanta konfigurationer
•Tidsmässig korrelation mellan olika artefakter
•Utredning av eventuella manipulationer
•Teknisk bevissäkring och spårbar dokumentation

Så här går den kriminaltekniska undersökningen till

Det aktuella datamediet eller datamaterialet registreras först på ett bevissäkert sätt och dokumenteras med hjälp av hashvärden. Den egentliga analysen utförs på en arbetskopia. Därefter identifieras de för ärendet relevanta artefakterna, utvärderas på ett strukturerat sätt och korreleras med ytterligare oberoende spår.

Resultat, teknisk tolkning och eventuella begränsningar i tolkningens giltighet redovisas separat. Antaganden som inte kan styrkas formuleras inte som konstaterade fakta.

Rättsmedicinsk bevisvärde

Gespeicherte Anwendungszustände untersuchen und prüfen, welche Informationen zu geöffneten Fenstern, Dokumentbezügen oder Sitzungszuständen erhalten geblieben sind.

Förekomsten av ett artefakt kan, beroende på hur det tekniskt sett har uppkommit, dokumentera ett tillstånd, en konfiguration eller en aktivitet. Vilken slutsats som är tillåten i det enskilda fallet prövas utifrån uppkomstlogiken och korrelationen med andra spår. Avsaknaden av en artefakt är inte automatiskt ett bevis på att en händelse inte har ägt rum.

Vanliga frågor

Was ist bei „macOS Saved Application State“ forensisch zu beachten?
Bei der Untersuchung von „macOS Saved Application State“ werden die relevanten Dateien, Datenbanken, Metadaten und gegebenenfalls zugehörigen Protokollinformationen auf einer forensischen Arbeitskopie ausgewertet. Speicherort, Dateisystemkontext, Zeitbezüge und Beziehungen zu weiteren Artefakten werden dokumentiert. Soweit sich Formate oder Speicherorte zwischen macOS-Versionen unterscheiden, wird dies bei der Analyse berücksichtigt. Aussagen werden ausschließlich auf Grundlage tatsächlich vorhandener und technisch nachvollziehbarer Spuren getroffen.
Hur går en sådan kriminalteknisk undersökning till i praktiken?
Det relevanta datamediet eller datamaterialet registreras först på ett bevissäkert sätt och dokumenteras med hjälp av hashvärden. Den egentliga analysen utförs på en arbetskopia. Därefter identifieras de för ärendet relevanta artefakterna, utvärderas på ett strukturerat sätt och korreleras med ytterligare oberoende spår. Resultat, teknisk tolkning och eventuella begränsningar i slutsatsernas giltighet redovisas separat. Antaganden som inte kan beläggas formuleras inte som faktiska resultat.
Vilken bevisvärde har resultaten inom detta område ur ett kriminaltekniskt perspektiv?
Gespeicherte Anwendungszustände untersuchen und prüfen, welche Informationen zu geöffneten Fenstern, Dokumentbezügen oder Sitzungszuständen erhalten geblieben sind. Das Vorhandensein eines Artefakts kann je nach technischer Entstehung einen Zustand, eine Konfiguration oder eine Aktivität dokumentieren. Welche Aussage im Einzelfall zulässig ist, wird anhand der Entstehungslogik und der Korrelation mit weiteren Spuren geprüft. Das Fehlen eines Artefakts ist nicht ohne Weiteres ein Beweis dafür, dass ein Vorgang nicht stattgefunden hat.
Framställs antaganden som säkra resultat vid en sådan undersökning?
Nej. Resultaten av tekniska undersökningar redovisas endast i den utsträckning som de styrks av det faktiskt bekräftade datamaterialet. Antaganden som inte kan styrkas formuleras inte som bekräftade resultat.

LanCologne – macOS-forensik i Köln

Sie benötigen eine professionelle Untersuchung zu „macOS Saved Application State“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, technischen Analyse und nachvollziehbaren Dokumentation macOS-forensischer Spuren.

Kontakta oss nu