Kurumsal filoların giderek büyüyen bir bölümü Mac’lerden oluşuyor, dolayısıyla bir olay incelemesinde artık karşınıza sık sık macOS çıkıyor. Ne var ki bu sistemler kendine özgü bir yapıyla gelir; APFS dosya sistemi, birleşik günlük kaydı mimarisi ve Apple’a özgü veritabanları, alışılmış adli reflekslerin bir kısmını işlevsiz bırakır. macOS adli analizi, bu Apple ekosistemine has yapıtları okuyabilen bir uzmanlık ister.

Apple ekosisteminin kendine has izleri

macOS, kullanıcı etkinliğini çok sayıda özel yapıtta biriktirir: uygulama kullanımını kaydeden knowledgeC ve Spotlight veritabanları, kalıcılık için kullanılan LaunchAgents ve LaunchDaemons tanımları, quarantine öznitelikleri ve unified log akışı. Bir dosyanın nereden indirildiğini gösteren karantina etiketi ya da bir uygulamanın en son ne zaman açıldığını tutan kayıt, saldırgan etkinliğini yeniden kurmakta belirleyici olabilir.

macOS adli analizi, Apple’a özgü yapıtları okuyarak diğer platformlarda görünmeyen kullanıcı ve sistem izlerini ortaya çıkarır.

APFS ve dosya sistemi katmanı

Modern Mac’lerin dosya sistemi APFS, anlık görüntüler, klonlar ve şifreleme gibi özellikleriyle incelemeyi hem zenginleştirir hem zorlaştırır. Dosya sistemi adli analizi, bu katmandaki metaverileri, silinmiş dosya kalıntılarını ve anlık görüntülerdeki geçmiş durumları çıkararak diskin görünen yüzeyinin altını açar. Bir anlık görüntü, saldırganın sildiğini sandığı bir dosyanın önceki halini barındırabilir ve bu, incelemenin dönüm noktası olur.

Kök nedene ulaşmak

Toplanan yapıtlar, olayın nasıl başladığını ve nereye ilerlediğini anlatan bir çerçeveye oturtulur. Bu çalışma, DFIR adli analiz ve olay müdahalesi sürecinin macOS’a uyarlanmış halidir; ilk erişim vektörü, yetki yükseltme ve kalıcılık mekanizmaları tek tek belirlenir. Bulguların güvenilirliği, kanıtın toplanma anından itibaren bütünlüğünün korunmasına bağlıdır.

Zamanı hizalamak ve iz silmeyi görmek

Unified log, dosya sistemi zaman damgaları ve uygulama veritabanları tek bir eksende birleştirildiğinde olayın akışı netleşir; bu zaman çizelgesi analizi, dağınık kayıtları anlamlı bir diziye çevirir. Ancak saldırgan bu izleri bozmaya çalışmış olabilir. Anti-forensic teknikler, log temizleme veya zaman damgası oynatma gibi yöntemlerle sahneyi karartabilir; deneyimli analist, beklenen bir kaydın yokluğunu ya da tutarsız zaman damgalarını başlı başına bir bulgu olarak değerlendirir.

Kurumunuzdaki bir Mac üzerinde şüpheli etkinlikten kuşkulanıyor veya bir ihlalin kapsamını netleştirmek istiyorsanız, Apple sistemlerine hâkim ekibimizin yürüttüğü adli analiz hizmetiyle kanıtı bütünlüğünü koruyarak çıkarabiliriz.