macOS‑artefakter i undersøgelser

Forside › macOS- og Linux-forensik · Gennemgået oktober 2026 · Af John Nielsen

En Mac registrerer brugeraktivitet på andre måder end Windows. Der er ingen registreringsdatabase, ingen LNK-filer og ingen Prefetch. Til gengæld har macOS egne kilder, der kan vise filaktivitet, programbrug, downloads og tilsluttede enheder: især FSEvents, Spotlight-indekset, unified logs, aktivitetsdatabaser og quarantine-oplysninger. Mange af dem er ændret mellem versioner, og nogle er beskyttet af systemets sikkerhedsmekanismer, så version og sikringsmetode skal altid dokumenteres. Den generelle fremgangsmåde for sikring af en Mac findes her: → Bevissikring af Mac

Oversigt

FSEvents · Placering (typisk): Mappen .fseventsd i roden af hvert volumen · Kan vise: Oprettelse, ændring, omdøbning og sletning af filer og mapper
Spotlight-indeks · Placering (typisk): Mappen .Spotlight-V100 på hvert volumen · Kan vise: Metadata om filer, også nogle, der ikke længere findes
Unified logs · Placering (typisk): Under /private/var/db/diagnostics og uuidtext · Kan vise: System- og programhændelser
KnowledgeC og Biome · Placering (typisk): Brugerens og systemets databaser · Kan vise: Programbrug, skærmaktivitet (afhænger af version)
Quarantine · Placering (typisk): Udvidet attribut på filen og en database med downloadhændelser · Kan vise: Hvor og hvornår en fil er hentet
Seneste elementer · Placering (typisk): Brugerens præferencer og lister over delte filer · Kan vise: Senest åbnede filer og programmer
Finder-præferencer · Placering (typisk): Brugerens Library/Preferences · Kan vise: Sidebar, tilsluttede volumener, seneste mapper
Browserdata · Placering (typisk): Safari, Chrome og andre · Kan vise: Historik og downloads

Placeringer og formater varierer mellem macOS-versioner, og Apple dokumenterer kun få af dem offentligt. Notér derfor macOS-versionen, og kontrollér den konkrete placering på det sikrede system i stedet for at gå ud fra en liste.

FSEvents

FSEvents er et log over ændringer i filsystemet, som macOS bruger til blandt andet Spotlight og Time Machine. Systemet samler hændelser i komprimerede filer i en skjult mappe på hvert volumen, også på eksterne drev. Posterne indeholder sti, hændelsestype (oprettet, ændret, omdøbt, slettet og flere) og et løbenummer, men ikke et præcist tidsstempel for hver post.

Tidspunktet må derfor udledes indirekte: af FSEvents-filernes egne tidsstempler, af filernes tidsstempler i filsystemet eller af sammenhæng med andre kilder som unified logs. Sikringen af dem er beskrevet i Unified Logs på macOS. Det giver et tidsvindue, ikke et præcist tidspunkt, og det skal fremgå af rapporten. FSEvents kan fx vise, at en mappestruktur blev oprettet på et eksternt drev, eller at filer er slettet eller flyttet til papirkurven.

Spotlight

Spotlight indekserer metadata og indhold for at gøre søgning hurtig. Indekset kan indeholde oplysninger om filer, der er slettet, om tidspunkter for seneste brug og om filer på eksterne drev, der har været tilsluttet og indekseret. Analysen kræver værktøjer, der kan læse Spotlights interne format, og resultaterne bør kontrolleres mod andre kilder, fordi indeksering kan være slået fra for bestemte volumener eller mapper.

Unified logs

Siden macOS 10.12 samles systemets logs i et fælles binært logformat. De kan læses med Macens eget logværktøj eller med forensiske værktøjer, der understøtter formatet. Loggen er meget omfattende, men opbevaringen er begrænset og styres af systemet ud fra plads og logniveau. Den kan vise:

tilslutning af USB-enheder og montering af volumener,
logins, oplåsning og skærmlås,
netværksændringer og Wi-Fi-forbindelser,
programstart og fejl.

Sikr loggen hurtigt, hvis Macen stadig er i brug, fordi ældre poster løbende fjernes. Loggen skal læses sammen med de tilhørende uuidtext-filer, ellers mangler meddelelsesteksterne. Sikres den ved en logisk indsamling, skal det dokumenteres, hvilket værktøj der blev brugt, og at indsamlingen skete på den kørende maskine. → Logfiler og logrotation

KnowledgeC og Biome

macOS fører databaser over brugeraktivitet, som bruges til blandt andet skærmtid og forslag. I ældre versioner hedder den centrale database KnowledgeC, i nyere er dele flyttet til Biome-strukturer. De kan vise, hvilket program der var i forgrunden, og hvornår skærmen var aktiv. Det er nyttigt for at placere en bruger ved maskinen i et tidsrum, men formaterne ændres ofte, og værktøjsunderstøttelsen halter.

Downloads og quarantine

Filer hentet fra internettet med programmer, der understøtter det, får en udvidet attribut, der markerer dem som hentet, og en post i en database med kilde-URL og tidspunkt. Det kan vise, hvor en fil kom fra, også hvis den er omdøbt. Attributten kan fjernes, og den kopieres ikke altid med, når filen flyttes til et andet filsystem, så et manglende spor er ikke bevis for, at filen ikke er hentet. Browserens egen historik er en vigtig supplerende kilde. → Browserhistorik som bevis

USB og eksterne medier

Tilsluttede enheder kan spores i unified logs, i systemets oplysninger om enheder og i FSEvents- og Spotlight-data på det eksterne drev. Den præcise kilde afhænger af versionen. Har man selve det eksterne drev, er dets egne FSEvents ofte det stærkeste spor, fordi de viser, hvad der blev skrevet til drevet. Sammenlign med de tilsvarende spor på Windows, hvis drevet også har været brugt der. → Windows-artefakter

iCloud og synkronisering

Med iCloud Drive og funktionen til at optimere lagerplads kan filer være flyttet til skyen og kun ligge lokalt som pladsholdere. Sletninger synkroniseres til andre enheder. Undersøg derfor også iCloud-kontoen, og notér, om filerne i kopien er fulde filer eller pladsholdere. Hvilke data iCloud rummer, og hvordan de eksporteres lovligt, står i iCloud teknisk.

Beskyttelse og adgang

System Integrity Protection, FileVault og kontrol med privatlivsadgang (TCC) betyder, at mange artefakter kun kan læses fra en korrekt sikret kopi eller med de rette rettigheder. På Mac-computere med Apple-chip er en fysisk kopi af lageret sjældent mulig, og sikringen sker ofte som en logisk indsamling fra den oplåste maskine. Det påvirker, hvilke artefakter der er med. → BitLocker og FileVault

Fejlkilder i fortolkningen

Systemprocesser som Spotlight, Time Machine og iCloud skaber filaktivitet, der kan ligne brugerhandlinger.
APFS-snapshots og kloning betyder, at en fil kan optræde flere gange uden at fylde mere, og at tidsstempler kan følge med en kopi.
Værktøjer, der ikke understøtter den aktuelle macOS-version, kan overse eller fejltolke poster.

Verifikation

Hvert artefakt, der bærer en konklusion, bør verificeres. Det kan ske ved at læse det med to uafhængige værktøjer, ved at kontrollere den rå post i kopien eller ved at afprøve adfærden på en test-Mac med samme macOS-version. Det sidste er særligt relevant på macOS, hvor Apple ikke dokumenterer formaterne offentligt, og hvor en opdatering kan ændre, hvad der registreres. Notér versionsnummeret på både styresystem og værktøj, og bevar de udtrukne rå filer sammen med analysen, så resultatet kan efterprøves.

Hvad artefakterne kan og ikke kan bevise

macOS-artefakter kan vise, at filer er oprettet, ændret eller slettet på et volumen, at et program har kørt, og at en enhed har været tilsluttet i et tidsrum. De kan sjældent alene vise, hvem der betjente maskinen, eller præcis hvornår en enkelt filhændelse fandt sted. Rapporten bør derfor angive tidsvinduer frem for falsk præcise tidspunkter og skelne mellem observationer og slutninger.

Tidslinje

Artefakterne bliver først stærke, når de samles i en tidslinje sammen med andre kilder, hvor FSEvents’ tidsvinduer kan indsnævres med tidsstempler fra unified logs og filsystemet. → Tidslinjeanalyse

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: macOS- og Linux-forensik

Læs også: Mac i virksomheden: MDM-logs og konfigurationsprofiler · Virtuelle maskiner og servere: forensisk sikring uden nedetid

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik