En el documento [PDF] podemos encontrar detalles sobre dónde el sistema operativo guarda dichos datos, que tipo de datos guarda y cómo extraer los mismos. Además en dicho documento, también podemos encontrar detalles técnicos acompañado de código fuente para el manejo de dichos datos.
El autor usa como herramienta base: Plaso, un framework multiplataforma escrito en Python orientado al análisis forense, y extiende dicha herramienta con nuevas funcionalidades para la interacción con las evidencias no documentadas de Mac OS X.
Joaquín clasifica las evidencias en dos categorías: las que almacenan el momemento de dicho evento (fecha y hora) y las que no. En la primera de dichas categorías, se explican el formato del sistema de Logs de Apple, el módulo de seguridad, lista de propiedades más relevantes, ficheros de control de CUPS IPP, UTMPX, etc. En la segunda de las categorías, la que agrupa los datos que no contienen marcas de tiempo, encontramos: cuentas de sistema, funcionalidad de autologin, atributo marcador de ficheros recientes, etc.
Al final del documento también podemos encontrar referencia a los scripts de Plaso, así como la definición de varias de las estructuras de datos.
Fuente: Cyberhades
No hay comentarios.:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!