macOS- og Linux-forensik

Mac og Linux hører sammen her, fordi begge bryder med den arbejdsgang, mange kender fra Windows: skru disken ud, tag et image, analysér kopien. På en moderne Mac er lagerchippen loddet fast og krypteret i hardwaren, så et fysisk image af disken giver ingen læsbare data uden den rette nøgle. På en Linux-server er udfordringen en anden. Maskinen kan sjældent stoppes, data ligger i virtuelle diske, RAID eller LVM, og det vigtigste bevis er ofte logs og konfiguration snarere end brugerens filer.

Fælles for platformene er, at sikringen tit må ske på en tændt maskine og logisk, altså som en kopi af filsystemet frem for af den rå disk. Det er en fuldt anerkendt metode, men den kræver, at afvigelsen fra et fuldt image begrundes og dokumenteres, og at analytikeren forstår, hvad der ikke kommer med.

Det særlige ved macOS

macOS har ingen registreringsdatabase, ingen Prefetch og ingen LNK-filer. Til gengæld har systemet egne databaser og logs, der kan vise filaktivitet, programbrug og downloads. Unified Log samler næsten alt, hvad systemet og programmerne skriver, men i et binært format og med kort levetid. FSEvents registrerer ændringer i filsystemet, KnowledgeC og Biome registrerer brug af apps, og quarantine-attributten fortæller, hvor en downloadet fil kom fra. APFS-snapshots kan rumme tidligere tilstande af hele volumenet.

Det særlige ved Linux og servere

På en Linux-server er journald, auth.log og shellhistorik de første kilder til, hvem der var logget ind, og hvad der blev kørt. Filsystemerne ext4, XFS og Btrfs håndterer sletning forskelligt, og LVM-snapshots kan give en konsistent kopi uden nedetid. NAS-enheder er i praksis små Linux-servere med egen papirkurv, egne snapshots og en webgrænseflade, der logger administratorens handlinger. Virtuelle maskiner kan ofte sikres fra hypervisoren, uden at gæsten mærker noget.

Kilder og hvad de viser

Logisk sikring af en tændt Mac · Platform: macOS · Hvad den kan vise: Den realistiske vej til data på Apple silicon og T2 · Læs mere: Sikring af moderne Mac
Unified Log · Platform: macOS · Hvad den kan vise: Logon, enheder, netværk og programmer i en kort periode · Læs mere: Unified Logs på macOS
FSEvents, KnowledgeC og quarantine · Platform: macOS · Hvad den kan vise: Filaktivitet, appbrug og downloads · Læs mere: macOS-artefakter
APFS-snapshots og kloner · Platform: macOS · Hvad den kan vise: Tidligere tilstande og filer, der deler blokke · Læs mere: APFS
FileVault og nøgler · Platform: macOS · Hvad den kan vise: Hvilke lovlige veje der findes til krypterede data · Læs mere: BitLocker og FileVault
journald, auth.log og shellhistorik · Platform: Linux · Hvad den kan vise: Logon, sudo, SSH og kørte kommandoer · Læs mere: Linux-servere i undersøgelser
ext4, XFS, Btrfs og LVM · Platform: Linux · Hvad den kan vise: Hvad sletning efterlader, og hvordan snapshots bruges · Læs mere: ext4, XFS, Btrfs og LVM
NAS-logs, papirkurv og snapshots · Platform: NAS · Hvad den kan vise: Sletning på delte mapper og administratorhandlinger · Læs mere: NAS-enheder som datakilde
Virtuelle diske og hypervisor · Platform: Servere · Hvad den kan vise: Sikring uden at stoppe driften · Læs mere: Virtuelle maskiner og servere
Backup og ældre medier · Platform: Servere · Hvad den kan vise: Data fra før hændelsen, når det aktuelle system er ændret · Læs mere: Gendannelse fra backup

Typiske fejlkilder

Mac’en slukkes. På en Mac med FileVault kan nedlukning gøre data utilgængelige, hvis ingen kender adgangskoden eller gendannelsesnøglen. Beslutningen om at slukke skal træffes bevidst; se Sluk, isolér eller lad den køre?.
Logarkivet roterer. Unified Log og Linux-journaler overskrives løbende. Hver dag, der går, kan fjerne de første dage af den periode, sagen handler om. Se Logfiler og logrotation.
Shellhistorik tages for pålydende. Historikken skrives typisk først, når sessionen lukkes, kan være slået fra og kan redigeres. Den er et spor, ikke en komplet log.
Snapshots overses. Både APFS, LVM, Btrfs og NAS-enheder kan rumme tidligere versioner, som ikke kommer med i en almindelig filkopi.
Tidszoner på servere. Mange servere kører i UTC, mens brugere og applikationer skriver lokal tid. Se Server-tid og klient-tid.

Hvor man starter

For en Mac er første spørgsmål, om maskinen er tændt og låst op, og om nogen kender adgangskoden. Er svaret ja, kan en logisk sikring planlægges; læs Sikring af moderne Mac og derefter macOS-artefakter for at vide, hvad der skal med.

For en server er første spørgsmål, hvor længe loggene bliver liggende, og om nogen er ved at ændre systemet. Sørg for, at logs og snapshots bevares, før der patches eller geninstalleres, og læs Linux-servere i undersøgelser og Virtuelle maskiner og servere. Er der tale om en NAS med delte mapper, er NAS-enheder som datakilde det rette sted at begynde. Den samlede metodeoversigt står på Sikring: metoderne samlet.

Når det skal være en opgave

Forensisk undersøgelse af en computer Undersøgelse af Mac, pc og server.

Artikler

macOS-artefakter i undersøgelser En Mac efterlader andre spor end Windows. Her er de vigtigste macOS-artefakter: FSEvents, Spotlight, unified logs, KnowledgeC, quarantine og USB-spor.
Virtuelle maskiner og servere: forensisk sikring uden nedetid Servere kan sjældent slukkes for at blive kopieret. Her er metoderne til forensisk sikring af virtuelle maskiner og servere i drift med snapshots og hash.
Sikring af moderne Mac: Apple silicon, T2 og logisk sikring En Mac med Apple silicon eller T2-chip kan sjældent kopieres klassisk. Sådan sikres den logisk med nøgle eller samtykke, og sådan dokumenteres det.
Unified Logs på macOS: sikring af logarkivet, før det roterer macOS’ unified logs roterer efter plads og logniveau. Sådan sikres logarkivet korrekt, med uuidtext og timesync, og sådan hashes og dokumenteres det.
APFS: snapshots, kloner og betydningen for sikringen APFS bruger snapshots, kloner og pladsdeling. Sådan påvirker det sikringen af en Mac, og hvad lokale Time Machine-snapshots kan vise som bevis.
Linux-servere i undersøgelser: journald, auth-log og shellhistorik Centrale logkilder på Linux-servere: journald, auth.log, wtmp, auditd og shellhistorik. Sådan sikres de på en kørende server, og her er fejlkilderne.
ext4, XFS, Btrfs og LVM: sletning og snapshots på Linux Hvad kan realistisk gendannes på ext4, XFS og Btrfs, og hvordan bruges LVM- og Btrfs-snapshots som tidligere versioner i en undersøgelse af Linux?
NAS-enheder som datakilde: logs, papirkurv og snapshots En NAS kan vise, hvem der åbnede, kopierede eller slettede filer. Sådan sikres forbindelseslogs, filoverførselslog, delte papirkurve og snapshots korrekt.
Gendannelse fra backup til forensisk brug: metode og dokumentation En gendannelse fra backup ændrer tidsstempler og metadata. Sådan gendannes til et isoleret miljø, resultatet hashes, og dokumentationen holder.
VDI og Citrix: hvor ligger brugerens spor? I VDI- og Citrix-miljøer nulstilles skrivebordet ofte ved logoff. Her ligger sporene: profilcontainere, sessionsværter, broker-logs og klientenheden.
Ældre medier og båndbackup i sager Gamle bånd, diske og optiske medier kan rumme afgørende data. Sådan vurderes læsbarhed og format, og sådan sikres de med hash og kæde af ansvar.
Chromebook og ChromeOS i undersøgelser Hvad en Chromebook gemmer lokalt, hvad der ligger i Google-kontoen og administrationskonsollen, og hvordan ChromeOS-enheder sikres og dokumenteres.
Hostlogs i VMware ESXi, vCenter og Hyper-V Hvem slettede den virtuelle maskine, fjernede et snapshot eller hentede en virtuel disk? Sådan læses og sikres hostlogs i ESXi, vCenter og Hyper-V.
Mac i virksomheden: MDM-logs og konfigurationsprofiler Hvilke spor MDM efterlader på en Mac i virksomheden: profiler, tilmeldingstype, kommandohistorik, agentlogs og unified logs, og hvordan de sikres korrekt.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.