見習いフォレンジッカーのメモ

デジタルフォレンジックに関することを書いていこうと思います。誤りを含む可能性も高いので、信じるか信じないかはあなた次第です。。

Catalina上で保全してきたUnifiedLogを解析する -Analyze the acquired UnifiedLog on Catalina-

ご存知の方もいらっしゃるかもしれませんが、今回も調査に役立つかもしれない調査方法を見つけたので、今わかっていること(こうだと思っていること)やちょっとした検証や考察などについて書きます。 Some of you may know, I found a way of invistigation…

macOS上に現存するappの痕跡?-appList.datについて- [Trace of app path on macOS -About appList.dat-]

※This is a very simple first report, there is the possibility of including mistakes. We need further verification. ご存知の方もいらっしゃるかもしれませんが、今回も調査に役立つかもしれないアーティファクトを見つけたので、今わかっていること(…

Mac OSXのIME(Imput Method Editor)アーティファクトに関して(About Mac OSX IME Artifact)

※This is a my very simple first report, there is the possibility of including mistakes. We need further verification. ご存知の方もいらっしゃるかもしれませんが、今回も調査に役立つかもしれないアーティファクトを見つけたので、今わかっているこ…

bam キー(実行痕跡?) について(2) & レジストリのトランザクションログ

前回の投稿でbamキーについて記事を書いた後、twitter宛にいくつかのメッセージを頂きました。 いつの間にか海外のフォレンジックコミュニティーにも記事の内容が共有され、様々な議論が交わされて、何名かのフォレンジッカーがこのキーについて追加の検証を…

bam キー(実行痕跡?) について(最終更新:2022/12/22)

注意:この記事(や同じテーマの私が書いた違う記事)は誤りを含みますが、どうやって新しいアーティファクトを探すのかという過程を示す為に、失敗込みで当時の様子を残しています。BAMは現在では一般的なアーティファクトですので、"BAM Forensics"とGoogle…