Очередной вебинар от компании Magnet Forensics (ранее Grayshift) о информации которую хранят наши телефоны (iOS и Android) во время работы. Речь пойдет о логах. Основа основ мобильной криминалистики и не только. Любой админ, на вопрос “у меня не работает что-то…” скажет: “а что в логах?”
Логи (журналы событий) – это файлы или базы данных, содержащие записи о различных событиях, которые происходят в операционных системах, приложениях, сетевых устройствах или других компонентах информационной технологии. Каждая запись в логе, называемая лог-сообщением, обычно включает в себя информацию о времени события, его типе, источнике, а также детальное описание события.
Источник — https://www.magnetforensics.com
Докладчик — Chris Vance
Chris Vance — является старшим специалистом по технической криминалистике в компании Magnet Forensics. На протяжении многих лет Кристофер работал инструктором и исследователем в нескольких крупных криминалистических компаниях, в основном обучая людей и проводя исследования в области криминалистики мобильных устройств, macOS и облачных технологий. Ранее Кристофер работал аналитиком в подразделении цифровой криминалистики Полиции штата Западная Вирджиния, где также был прикреплён к рабочей группе по борьбе с преступлениями против детей в интернете. Кристофер родом из Хантингтона, штат Западная Вирджиния, где он получил степень в области цифровой криминалистики в Университете Маршалла.
Цитата специалиста:
“Если бы вы видели, что хранится в логах телефона, вы бы спросили…Зачем все эти приложения хранят и записывают эти данные?”
Звонки и сообщения
В логах смартфонов храняться данные о том кому и когда вы звонили, а также сообщения отправленные и полученные вместе с их содержанием.
Устройства
Главное, что нужно помнить и понимать — это то, что все логи хранят всю информацию с привязкой ко времени, а именно:[12:06:37 24 марта 2024 года - было выполнено такое-то действие…] Пример:[12:06:37 24.03.2024 - установка Telegram] [12:07:37 24.03.2024 - авторизация в Telegram с номером +380…..57]
И логи пишуться очень подробно. Это очень лайтовый пример…
Хранится перечень устройств к которым вы подключались. Наушники и JBL колонки это такое…а вот wifi к которому вы подключались может свидетельствовать о местах в которых вы бывали и соответственно о людях с которыми вы могли встретиться.
Информацию о том, как было разблокировано устройство. С помощью пароля, биометрии (глаза, пальцы, лицо), что может свести на нет аргументы в стиле “меня там не было, кто-то украл мой телефон”)). Даже если у вас нет пароля от устройства, часть логов доступна и без него (iOS). У компании Magnet Forensics имеется программное обеспечение AXIOM, которое имеет возможность извлечения логов из устройств iOS без пароля от устройства. Также хранятся данные о установке приложений, перезагрузке телефона и часового пояса при перезагрузке, что может сказать о местоположении телефона в момент запуска. Информация о использовании приложениями количества заряда аккумулятора. Ну, тут собственно плевать сколько ело приложение заряда, тут главное кто ел…Signal, Telegram, Threema, что может направить поиски в нужную сторону.
AirDrop (iOS) и iCloud — все что касается отправки и получения файлов и от кого и куда. Все хранится в логах, а также что и когда вы отправляли в iCloud или получали с него. Имена файлов и куда они были размещены.
Samsung
Имеет специфический режим для работы с логами устройства. Для работы с логами требуется разблокировать устройство и позвонить или выполнить запрос *#9900# и только после этого будет разрешено чтение логов устройства. Данный запрос заложен производителем устройства для разблокировки специального режима работы с логами, который называется SysDump.
Если все вышесказанное было сделано, то есть возможность извлечения логов системы и работы устройства, когда было включено устройство и когда разблокировано. Также использует ли пользователь несколько аккаунтов на устройстве. Когда были удалены данные — просто дата удаления по сути, а также когда были установлены обновления. Перечень установленных приложений.
Не будем путать логи системы и логи того, что происходило в “Защищенной папке” или Knox. Эти логи не видны. Просто сравните это с iPhone)))…
