Forside › macOS- og Linux-forensik · Gennemgået oktober 2026 · Af John Nielsen
Kort svar: En administreret Mac har spor i to ender. I MDM-systemet ligger inventar, tilmeldingsoplysninger og en historik over de kommandoer, der er sendt til maskinen. På selve Mac’en ligger de installerede konfigurationsprofiler, tilmeldingsstatus og MDM-klientens aktivitet i unified logs, og hvis der bruges en agent, også agentens egne logfiler. De to sider skal sikres hver for sig og sammenholdes, fordi den ene viser, hvad der blev bestilt, og den anden, hvad der faktisk skete på maskinen.
Artiklen supplerer MDM og Intune som datakilde, der handler om telefoner, og macOS-artefakter, der handler om brugerens spor på maskinen.
Tilmeldingstypen afgør, hvad der findes
Apple skelner mellem tre måder at tilmelde en enhed på, og de giver forskellige muligheder:
- Automatisk enhedstilmelding · Typisk brug: Virksomhedsejede Mac’er registreret i Apple Business Manager · Betydning for sporene: Overvåget enhed, flest indstillinger og flest oplysninger i MDM
- Enhedstilmelding · Typisk brug: Eksisterende virksomhedsejede Mac’er tilmeldt manuelt · Betydning for sporene: Mac’en er overvåget med visse begrænsninger
- Brugertilmelding · Typisk brug: Privatejede enheder · Betydning for sporene: Begrænset administration og adskilt arbejdsdata
Første spørgsmål i en undersøgelse er derfor, hvordan maskinen er tilmeldt. En Mac fra Apple Business Manager, der er nulstillet, tilmelder sig typisk igen ved opstart, og det giver en ny tilmeldingsdato i MDM. En brugertilmeldt privat Mac giver kun adgang til den administrerede del, og resten af maskinen ligger uden for det, virksomheden kan sikre uden samtykke.
Spor i MDM-systemet
MDM-konsollen er den primære kilde til, hvad virksomheden har gjort med maskinen:
- Inventar. Serienummer, model, macOS-version, installerede programmer, FileVault-status og tidspunkt for seneste kontakt.
- Kommandohistorik. Installation og fjernelse af profiler, låsning, sletning, opdateringer og andre fjernhandlinger, med tidspunkt og den administrator, der udløste dem.
- Revisionslog for konsollen. Ændringer i politikker, grupper og tildelinger, som forklarer, hvorfor en profil blev installeret eller fjernet.
- Deponerede nøgler. Hvis MDM deponerer FileVault-gendannelsesnøglen, er det den lovlige vej til at låse en krypteret disk op ved sikring. Se BitLocker og FileVault ved bevissikring.
Mange MDM-systemer gemmer kun kommandohistorik og revisionslog i en begrænset periode, og perioden varierer mellem produkter og licenser. Eksportér derfor historikken tidligt, og notér, hvilken periode eksporten dækker.
Spor på selve Mac’en
Installerede profiler. Profilerne kan ses under Enhedsadministration i Systemindstillinger (placeringen har skiftet mellem macOS-versioner), og kommandoen profiles viser dem fra Terminal. profiles list og profiles show lister installerede profiler med identifikator og installationsdato, og profiles status -type enrollment viser, om maskinen er MDM-tilmeldt, og om tilmeldingen skete automatisk via Apple Business Manager. Selve profildataene ligger i en beskyttet systemmappe, som kun kan læses fra en forensisk kopi eller med administratorrettigheder.
Unified logs. MDM-klienten (mdmclient) og de tilhørende systemprocesser logger modtagne kommandoer, installation af profiler og kontakt med serveren. Logmeddelelserne kan filtreres på delsystem og proces i en sikret logarkivfil. Se macOS unified logs for, hvordan arkivet sikres og læses uden at ændre den kørende maskine.
Agentlogs. Bruger virksomheden en MDM-løsning med egen agent, skriver agenten typisk sin egen logfil. Microsoft beskriver for Intune, at agentens logs ligger i /Library/Logs/Microsoft/Intune for systemet og i den tilsvarende mappe under brugerens bibliotek. Her kan kørte scripts, installationer og fejl ses med tidsstempler.
Installationshistorik. Pakker, der er installeret via MDM eller manuelt, registreres i installationsloggen og i systemets oversigt over installationer. Det kan vise, om et program kom via MDM eller blev installeret af brugeren.
Apple Business Manager
Apple Business Manager er en selvstændig kilde ved siden af MDM-systemet. Her ses, hvilke serienumre der er registreret til virksomheden, hvilken MDM-server de er tildelt, og hvornår en enhed er frigivet fra organisationen. En aktivitetslog viser administrative handlinger i portalen. Frigives en Mac fra Apple Business Manager, kan den ikke længere tilmeldes automatisk, og det kan forklare, hvorfor en nulstillet maskine pludselig fremstår som uadministreret. Eksportér oplysningerne for de relevante serienumre sammen med MDM-data.
Når Mac’en er fjernet fra MDM
Apple beskriver, at når en enhed frigives fra administration, fjernes tilmeldingsprofilen, konfigurationsprofilerne og de administrerede apps. Kommer en Mac tilbage uden profiler, er spørgsmålet, om frigivelsen skete fra konsollen, om profilen blev fjernet lokalt af en administratorkonto, eller om maskinen er slettet og geninstalleret. Konsollens revisionslog, unified logs fra perioden og installationsloggen kan som regel skelne mellem de tre forløb. En geninstalleret maskine har en ny installationsdato og har mistet de lokale logs fra før geninstallationen.
Sikring
- MDM-siden først. Eksportér inventar, kommandohistorik og revisionslog for den konkrete maskine, før der sendes nye kommandoer. En låse- eller slettekommando under en igangværende sag ændrer både maskinen og historikken.
- Undgå automatiske handlinger. Kontrollér, om politikker for compliance kan udløse sletning eller låsning, når maskinen kommer på nettet igen, og stil dem i bero for den konkrete maskine efter aftale med sagens parter.
- Maskinen. Sikr Mac’en efter metoden for den aktuelle hardware. Apple silicon kræver en særlig tilgang, beskrevet i sikring af Mac med Apple silicon. Sikr unified logs og agentlogs, mens maskinen kører, hvis en fuld kopi ikke er mulig.
- Dokumentér tilstanden. Notér output fra
profilesmed tidspunkt og hashværdi af de gemte filer, og fotografér Systemindstillinger, hvis maskinen gennemgås på stedet.
Typiske fejlslutninger
- “Profilen er installeret, altså var indstillingen aktiv.” En profil kan være installeret, men tilsidesat af en anden profil eller ikke understøttet af den aktuelle macOS-version. Kontrollér den faktiske indstilling på maskinen.
- “Profilen er fjernet, altså fjernede brugeren den.” Fjernelse sker oftest fra MDM, når en gruppe eller tildeling ændres. Revisionsloggen i konsollen viser, om det var en administrator, en automatisk regel eller en lokal handling.
- “Seneste kontakt er seneste brug.” Seneste kontakt viser, hvornår maskinen talte med MDM-serveren, ikke hvornår nogen brugte den. Brug macOS-artefakter til brugeraktivitet.
- “MDM viser alt.” MDM viser administrative data, ikke filer, mails eller browserhistorik. Den kan heller ikke vise, hvad en bruger gjorde, mens maskinen var offline.
Hvad sporene kan og ikke kan vise
Sporene kan vise, hvordan maskinen var konfigureret på et givent tidspunkt, hvilke kommandoer virksomheden sendte, og om de blev udført. De kan typisk skelne mellem en administrativ fjernelse af en profil og en ændring lokalt. De kan ikke alene vise, hvem der sad ved maskinen, og de kan ikke erstatte en sikring af selve disken, når spørgsmålet handler om brugerens filer og aktivitet.
I rapporten
Angiv tilmeldingstype, MDM-system og version, eksportens periode, de konkrete kommandoer med tidspunkter og den lokale bekræftelse af hver kommando. Hvor tidspunkterne fra konsol og maskine ikke stemmer, skal forskellen forklares, fx ved at kommandoen først blev udført ved næste kontakt.
Kilder og versioner
- Apple Platform Support: Intro to device management
- Apple Platform Deployment
- Microsoft Learn: Use shell scripts on macOS devices in Intune
Senest gennemgået: oktober 2026.
Næste skridt
Del af: macOS- og Linux-forensik
Læs også: Hostlogs i VMware ESXi, vCenter og Hyper-V · macOS-artefakter i undersøgelser
→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
