چرا تحلیل‌های جرم‌شناسی دیجیتال (DFIR) در سیستم‌عامل macOS می‌تواند در برخی موارد ساده‌تر از Windows باشد.
1. ساختار فایل یکپارچه و بدون رجیستری پیچیده
در macOS، ساختار فایل‌ها به سبک یونیکس و به‌صورت سلسله‌مراتبی است. اطلاعات کاربر در مسیرهای مشخصی مانند /Users/<username>/ قرار دارد. برخلاف Windows که از رجیستری پیچیده‌ای برای ذخیره تنظیمات استفاده می‌کند، macOS از فایل‌های plist (Property List) برای ذخیره تنظیمات بهره می‌برد. این فایل‌ها معمولاً به‌صورت XML یا باینری هستند و به‌راحتی قابل خواندن و تحلیل می‌باشند.
2. مکان‌های کمتر برای ثبوت(Persistence)
در Windows، مکان‌های متعددی برای اجرای خودکار برنامه‌ها وجود دارد، مانند Task Scheduler، رجیستری، WMI و غیره. اما در macOS، مکان‌های اصلی برای پایداری شامل Launch Agents و Launch Daemons هستند. این سادگی باعث می‌شود تحلیل‌گر بتواند سریع‌تر مکان‌های احتمالی برای پایداری بدافزار را بررسی کند.
3. اطلاعات متادیتای مفید در فایل‌های دانلود شده
در macOS به‌صورت خودکار به فایل‌های دانلود شده متادیتایی مانند com.apple.quarantine اضافه می‌کند که شامل اطلاعاتی مانند منبع دانلود و تاریخ آن است. این اطلاعات می‌تواند در تحلیل‌های جرم‌شناسی بسیار مفید باشد. در مقابل، Windows از Zone.Identifier استفاده می‌کند که اطلاعات کمتری ارائه می‌دهد.
4. محیط کنترل‌شده و یکنواخت
سیستم عامل Apple کنترل کاملی بر سخت‌افزار و نرم‌افزار دستگاه‌های خود دارد. این باعث می‌شود تنوع نسخه‌های سیستم‌عامل و درایورها کمتر باشد و تحلیل‌گر با محیطی یکنواخت‌تر مواجه شود. در حالی که در Windows، تنوع سخت‌افزارها و نرم‌افزارهای شخص ثالث می‌تواند تحلیل را پیچیده‌تر کند.
⚠️ چالش‌های موجود در جرم‌شناسی macOS
1. رمزگذاری پیش‌فرض و امنیت سخت‌افزاری
ویژگی‌هایی مانند FileVault و تراشه‌های امنیتی T2 و Apple Silicon باعث می‌شوند داده‌ها به‌صورت پیش‌فرض رمزگذاری شوند. بدون دسترسی به رمز عبور کاربر، دسترسی به داده‌ها بسیار دشوار است. این موضوع در منابع مختلف تأیید شده است.
2. عدم امکان تصویربرداری فیزیکی در برخی موارد
در دستگاه‌های جدید Apple، به‌ویژه با تراشه‌های Apple Silicon، امکان تصویربرداری فیزیکی از دیسک وجود ندارد و فقط می‌توان تصویربرداری منطقی انجام داد. این محدودیت‌ها باعث می‌شود برخی اطلاعات قابل بازیابی نباشند.
3. تغییرات مداوم در ساختار سیستم‌عامل
سیستم عامل Apple به‌طور مداوم ساختار سیستم‌عامل خود را به‌روزرسانی می‌کند. این تغییرات می‌توانند باعث شوند ابزارهای جرم‌شناسی نیاز به به‌روزرسانی مداوم داشته باشند تا با ساختار جدید سازگار شوند.
#آکادمی_روزبه
https://medium.com/@mathias.fuchs/apples-to-apples-why-macos-forensics-can-be-easier-than-windows-19c9f234c1a1
1. ساختار فایل یکپارچه و بدون رجیستری پیچیده
در macOS، ساختار فایل‌ها به سبک یونیکس و به‌صورت سلسله‌مراتبی است. اطلاعات کاربر در مسیرهای مشخصی مانند /Users/<username>/ قرار دارد. برخلاف Windows که از رجیستری پیچیده‌ای برای ذخیره تنظیمات استفاده می‌کند، macOS از فایل‌های plist (Property List) برای ذخیره تنظیمات بهره می‌برد. این فایل‌ها معمولاً به‌صورت XML یا باینری هستند و به‌راحتی قابل خواندن و تحلیل می‌باشند.
2. مکان‌های کمتر برای ثبوت(Persistence)
در Windows، مکان‌های متعددی برای اجرای خودکار برنامه‌ها وجود دارد، مانند Task Scheduler، رجیستری، WMI و غیره. اما در macOS، مکان‌های اصلی برای پایداری شامل Launch Agents و Launch Daemons هستند. این سادگی باعث می‌شود تحلیل‌گر بتواند سریع‌تر مکان‌های احتمالی برای پایداری بدافزار را بررسی کند.
3. اطلاعات متادیتای مفید در فایل‌های دانلود شده
در macOS به‌صورت خودکار به فایل‌های دانلود شده متادیتایی مانند com.apple.quarantine اضافه می‌کند که شامل اطلاعاتی مانند منبع دانلود و تاریخ آن است. این اطلاعات می‌تواند در تحلیل‌های جرم‌شناسی بسیار مفید باشد. در مقابل، Windows از Zone.Identifier استفاده می‌کند که اطلاعات کمتری ارائه می‌دهد.
4. محیط کنترل‌شده و یکنواخت
سیستم عامل Apple کنترل کاملی بر سخت‌افزار و نرم‌افزار دستگاه‌های خود دارد. این باعث می‌شود تنوع نسخه‌های سیستم‌عامل و درایورها کمتر باشد و تحلیل‌گر با محیطی یکنواخت‌تر مواجه شود. در حالی که در Windows، تنوع سخت‌افزارها و نرم‌افزارهای شخص ثالث می‌تواند تحلیل را پیچیده‌تر کند.
⚠️ چالش‌های موجود در جرم‌شناسی macOS
1. رمزگذاری پیش‌فرض و امنیت سخت‌افزاری
ویژگی‌هایی مانند FileVault و تراشه‌های امنیتی T2 و Apple Silicon باعث می‌شوند داده‌ها به‌صورت پیش‌فرض رمزگذاری شوند. بدون دسترسی به رمز عبور کاربر، دسترسی به داده‌ها بسیار دشوار است. این موضوع در منابع مختلف تأیید شده است.
2. عدم امکان تصویربرداری فیزیکی در برخی موارد
در دستگاه‌های جدید Apple، به‌ویژه با تراشه‌های Apple Silicon، امکان تصویربرداری فیزیکی از دیسک وجود ندارد و فقط می‌توان تصویربرداری منطقی انجام داد. این محدودیت‌ها باعث می‌شود برخی اطلاعات قابل بازیابی نباشند.
3. تغییرات مداوم در ساختار سیستم‌عامل
سیستم عامل Apple به‌طور مداوم ساختار سیستم‌عامل خود را به‌روزرسانی می‌کند. این تغییرات می‌توانند باعث شوند ابزارهای جرم‌شناسی نیاز به به‌روزرسانی مداوم داشته باشند تا با ساختار جدید سازگار شوند.
#آکادمی_روزبه
https://medium.com/@mathias.fuchs/apples-to-apples-why-macos-forensics-can-be-easier-than-windows-19c9f234c1a1
Comments
Be the first to add a comment
Log in to comment