Mac OS安全审计机制在电子取证中应用.docVIP

Mac OS安全审计机制在电子取证中应用 　　摘 要： 大多数的计算机取证工作主要还是依靠现成的取证软、硬件，然而过度的依赖取证工具，有可能导致某些重要电子证据的遗漏。因此针对操作系统、文件系统等底层的研究才是进行计算机取证研究的方向。针对Mac OS系统自身的安全机制性能，分析其自带的安全审计机制在电子取证过程中的应用，为取证人员提供取证工具所无法检测到的重要电子证据。其中重点探讨了Mac OS的审计日志、诊断报告、崩溃日志和Plist文件在进行手动电子取证过程中可提供的大量有价值的电子证据和取证线索。 　　关键词： Mac OS； 电子取证； 安全机制； 审计日志； 崩溃日志 　　中图分类号：TP309 文献标志码：A 文章编号：1006-8228（2018）01-30-04 　　Application of Mac OS security audit mechanism in digital forensics 　　Zhang Ping 　　（Department of Computer Science， Guangdong Police College， Guangzhou， Guangdong 510230， China） 　　Abstract： Most of the computer forensics mainly relies on the ready-made forensics software and hardware， however， excessive reliance on forensic tools may lead to the omission of some vital electronic evidence. Therefore， the underlying research on operating system， file system and so on is the research direction of computer forensics. Aiming at the security mechanism performance of Mac OS system， this paper discusses the application of its own security audit mechanism in the process of electronic forensics， which can help forensic personnel to dig out some important electronic evidence that cannot be detected by the ready-made forensic tools. This paper mainly focuses on the application of Mac OS audit log， diagnostic report， crash log and Plist file， which can provide a large number of valuable electronic evidences and forensic clues in the process of manual electronic forensics. 　　Key words： Mac OS； digital forensics； security mechanism； audit report； crash report 　　0 引言 　　?算机审计的目的是通过对证据的审查，确保被审查对象行为的真实性、正确性、合规性，审计的实施对象主要是操作系统的合法或非法用户，此处的证据包括被审查对象的过往行为和可访问的数据文件[1]，其中提取证据的过程一般可被划归为电子取证范畴。 　　针对Windows操作系统的电子取证操作，是被较多人所熟知的[2]，而苹果的操作系统由于相对于Windows而言使用的用户群体相对较窄，所以针对Mac OS的计算机取证研究稍显滞后。但近年来苹果操作系统的市场占有率迅速增长，根据统计机构NetMarketshare公布的数据[3]，从2007年至2014年第一季度，Mac的占有率从3.74%上涨到8.16%，其增幅超过1倍。虽然在最新统计（2017年9月）中Mac OS市场占有率下滑至6.29%，但始终稳居市场份额第二位，并且随着移动版操作系统iOS的广泛使用，使得更多用户意识到Mac OS与iOS搭配使用的好处，因此针对Mac OS的电子取证研究刻不容缓。 　　在Mac OS中审计（auditing）是其自身包含的一个子系统[4]，它是由