IT-forensik · macOS

Forensisk analys av Safari-historiken – rekonstruera webbaktiviteter i macOS

Safari lagrar vid normal webbläsaranvändning olika typer av lokala data som, beroende på versionen av macOS och Safari, kan ge information om besökta webbplatser och användningstid. För digital kriminalteknik är historiken därför en viktig, men inte tillräcklig, källa för att rekonstruera webbaktiviteter.

Begär en icke-bindande offert

Safari gör det möjligt för användare att radera historiken. Dessutom kan privata surfningssessioner och synkroniseringsfunktioner påverka de spår som syns lokalt. Att en post saknas i historiken bevisar därför inte att en webbplats aldrig har besökts.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi undersöker befintlig Safari-historik och tillhörande webbläsardata inom den aktuella användarprofilen. URL:er, sidrubriker och tekniskt tillgänglig tidsinformation extraheras och jämförs med nedladdningar, webbplatsdata, cache-relaterade spår, Unified Logs och andra artefakter.

Synkroniserade eller raderade data utvärderas endast i den utsträckning som de faktiskt kan påvisas i den kriminaltekniska datakällan.

Typiska användningsområden

•Återgivning av besökta webbsidor
•Undersökning av webbaktiviteter över tid
•Analys av fall av nätfiske och skadlig programvara
•Granskning av forsknings- och kommunikationssammanhang
•Korrelation med nedladdningar och spår i filsystemet
•Undersökning av raderad webbläsarhistorik i den mån det är tekniskt möjligt
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Efter att bevisen har säkrats identifieras Safari-relaterade datamängder för det berörda användarkontot. Historikposter analyseras på ett strukturerat sätt och tidsangivelserna placeras i sitt sammanhang.

Därefter korreleras misstänkta URL-adresser med ytterligare spår från webbläsare, nedladdningar och systemet. Analysen skiljer mellan en sparad historikpost, ett faktiskt sidbesök och den personrelaterade tilldelningen av aktiviteten.

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

Webbläsarhistoriken kan ge en mycket tydlig indikation på webbaktiviteter och är därför relevant i många undersökningar. Samtidigt kan den vara ofullständig på grund av användarens åtgärder, privata sessioner eller radering av data.

En tillförlitlig utvärdering utgår därför från Safari-historiken i kombination med nedladdningar, spår i filsystemet, DNS- respektive nätverksspår eller andra fallrelaterade källor, i den mån sådana finns tillgängliga.

Vanliga frågor

Kan Safari spara webbläsarhistoriken?+
Ja. Vid normal användning av webbläsaren kan det finnas lokala historikuppgifter om webbplatser som du har besökt.
Kan historiken raderas?+
Ja. Safari har funktioner för att radera webbläsarhistoriken.
Innebär en saknad post att en sida aldrig har besökts?+
Nej. Historiken kan ha raderats, eller så kan en aktivitet ha utförts i ett sammanhang som inte har lämnat någon motsvarande lokal historik.
Visar en loggpost vilken person som har besökt webbplatsen?+
Inte enbart det. Man måste dessutom beakta det tekniska användar- och sessionssammanhanget.

LanCologne – macOS-forensik i Köln

Behöver ni en professionell analys av Safari och webbläsaren på en Mac? LanCologne hjälper er med att säkerhetskopiera webbaktiviteter på ett sätt som håller i domstol och att rekonstruera dem på ett spårbart sätt.

Kontakta oss nu