macOS-DFIR-Praxisreferenz

Einen Mac wie eine Zeitleiste lesen.

Wo macOS seine Spuren ablegt, wie man sie sichert, ohne sie zu verändern, und wie aus Unified Logs, FSEvents, KnowledgeC, TCC und launchd eine belastbare Geschichte wird.

Karte erkunden Alle Leitfäden

Spurenbereiche: 6
ausführliche Leitfäden: 12
Glossarbegriffe: 12

supertimeline · MBP-IR-01UTC

quarantine

fsevents

unifiedlog

tcc

launchd

knowledgec

09:14:02.118quarantineInvoice_Q3.dmgagent com.apple.Safari
09:14:31.502fsevents/Volumes/Invoice_Q3/Viewer.appCreated | IsDirectory
09:14:40.871unifiedlogsyspolicyd: Gatekeeper assessmentViewer.app
09:15:07.340tcckTCCServiceAccessibilitycom.example.viewer · allowed
09:15:12.006launchd~/Library/LaunchAgents/com.example.viewer.plistRunAtLoad = true
09:16:44.920knowledgec/app/inFocuscom.example.viewer

Illustratives Beispiel: ein Ereignis pro Spurenquelle, zusammengeführt auf einer UTC-Uhr.

/evidence-map

Die macOS-Spurenkarte

Sechs Bereiche decken die Fragen jeder Mac-Untersuchung ab: wie sichern, was lief, was sich auf der Platte änderte, was der Benutzer tat, wie sich die Bedrohung festsetzte und worauf sie zugreifen durfte.

Sicherung & Triage

Einen Mac sichern, ohne Spuren zu verlieren: Aftermath, mac_apt, UAC und Apple Silicon.

Aftermath
mac_apt
UAC
log collect

macOS Forensic Acquisition: Live vs Dead-Box Triage
Apple Silicon Forensics: What M-Series Macs Change

2 LeitfädenEN

Unified Logs

tracev3-Logs abfragen: Anmeldungen, sudo, SSH, Installationen, Gatekeeper und TCC.

/private/var/db/diagnostics
uuidtext
.logarchive

macOS Unified Logs Forensics: tracev3, log show, Predicates

1 LeitfadenEN

APFS, Snapshots & FSEvents

APFS-Zeitstempel lesen, lokale Snapshots einhängen und den Änderungsverlauf rekonstruieren.

/.fseventsd
tmutil
kMDItemDateAdded

APFS Snapshots and Timestamps: A Forensic Guide for macOS
FSEvents Forensics: The macOS File System Change Log

2 LeitfädenEN

Benutzeraktivität

KnowledgeC, Biome, Spotlight und Safari: was der Benutzer wann und wie lange geöffnet hat.

knowledgeC.db
Biome
History.db
.Spotlight-V100

knowledgeC.db and Biome: Reconstructing Mac User Activity
Spotlight Forensics: Metadata Stores, mdls and Parsing
Safari Forensics on macOS: History.db, Downloads and Tabs

3 LeitfädenEN

Ausführung & Persistenz

Downloads über Quarantäne und Gatekeeper verfolgen, dann LaunchAgents und Anmeldeobjekte aufspüren.

com.apple.quarantine
QuarantineEventsV2
LaunchAgents
sfltool dumpbtm

Quarantine Events and Gatekeeper: Tracing Mac Downloads
Investigating launchd Persistence on macOS

2 LeitfädenEN

TCC & Schlüsselbund

Sehen, welche Apps Festplattenvollzugriff, Bildschirmaufnahme oder Bedienungshilfen erhielten, und was der Schlüsselbund verrät.

TCC.db
login.keychain-db
MDMOverrides.plist

TCC Database Forensics: macOS Privacy Permissions
macOS Keychain Forensics: Concepts and Metadata

2 LeitfädenEN

/guides

Mit einem Leitfaden beginnen

Alle Leitfäden

01 · Sicherung & Triage

macOS Forensic Acquisition: Live vs Dead-Box Triage

How to acquire evidence from a Mac: live vs dead-box, FileVault, Full Disk Access, SIP, order of volatility, and triage with Aftermath, mac_apt and UAC.