Analisi forense di macOS e Linux

1. Avvertenza preliminare

Le procedure descritte in questo capitolo devono essere eseguite solo su computer, immagini forensi, dischi, supporti o dati acquisiti lecitamente, nell’ambito di un incarico professionale, di una consulenza tecnica, di una perizia informatica, di un’attività aziendale autorizzata o di un incarico difensivo.

Il perito informatico opera su materiale autorizzato, documentato e acquisito con catena di custodia. La regola resta la stessa:

Non si analizza l’originale se è possibile lavorare su immagine forense o copia verificata.

2. Perché macOS e Linux sono diversi da Windows?

macOS e Linux sono sistemi Unix-like, ma hanno strutture diverse tra loro. macOS utilizza oggi prevalentemente APFS, mentre Linux può usare EXT4, XFS, Btrfs, LVM, LUKS, ZFS e altre configurazioni.

Apple descrive APFS come il file system predefinito sulle piattaforme Apple e successore di HFS Plus. Il kernel Linux descrive EXT4 come evoluzione di EXT3, progettata per scalabilità, affidabilità e supporto di file system grandi.

3. Obiettivo dell’analisi forense macOS e Linux

L’obiettivo non è aprire il disco e guardare i file. L’obiettivo è ricostruire, con metodo, ciò che il sistema consente tecnicamente di affermare.

• chi ha usato il sistema e quali utenti erano presenti
• quando il sistema è stato acceso, spento o usato
• quali file sono stati creati, modificati, scaricati o cancellati
• quali volumi, dispositivi o cartelle cloud risultano collegati
• quali applicazioni sono state installate o eseguite
• quali log sono disponibili e quale periodo coprono
• se ci sono tracce di accesso remoto, SSH, sudo, cron o servizi
• se il computer può avere generato, modificato o esportato file audio, video, immagini, PDF o documenti

Il perito informatico deve distinguere sempre tra evento tecnico, attività utente, attività automatica del sistema, sincronizzazione cloud e ipotesi investigativa.

4. Che cosa serve prima di iniziare

Prima di analizzare macOS o Linux, il tecnico deve avere completato triage, catena di custodia e acquisizione/copia forense.

• codice caso
• verbale di ricezione
• scheda reperto
• immagine forense o copia verificata
• hash immagine
• log dello strumento di acquisizione
• registro catena di custodia
• quesiti tecnici
• autorizzazione del proprietario o avente diritto
• eventuali credenziali o recovery key fornite lecitamente
• cartella di lavoro

5. Domande tipiche del cliente e quesiti tecnici

Domande su macOS

• Questo Mac è stato usato per creare un file?
• Un file audio è stato modificato con un programma su questo Mac?
• Un video è stato esportato da questo Mac?
• Quali file sono stati aperti recentemente?
• Quali dispositivi USB sono stati collegati?
• È stato usato un software di editing?
• Sono presenti tracce di AirDrop, iCloud, Time Machine o FileVault?

Domande su Linux

• Un server Linux ha subito accessi non autorizzati?
• Quale utente ha effettuato login?
• Sono stati eseguiti comandi sospetti?
• Sono stati modificati file o configurazioni?
• Ci sono log SSH, sudo, cron o systemd?
• Sono presenti container Docker o log web server?
• È possibile ricostruire una timeline?

6. Principio operativo

Prima identifica il sistema, poi mappa gli utenti, poi raccogli gli artefatti, poi costruisci la timeline.

1. Verificare immagine e hash.
2. Identificare sistema operativo.
3. Identificare file system.
4. Identificare partizioni e volumi.
5. Identificare utenti.
6. Identificare timezone.
7. Identificare log disponibili.
8. Identificare artefatti rilevanti.
9. Estrarre output con strumenti ripetibili.
10. Costruire timeline.
11. Correlare eventi.
12. Scrivere conclusioni prudenti.

7. Strumenti principali del capitolo

8. Preparare la cartella di lavoro

Creare una cartella ordinata prima di eseguire qualsiasi analisi.

MQ-2026-0045_Analisi_macOS_Linux_Roma/
├── 00_incarico_e_verbali/
├── 01_immagine_forense/
├── 02_hash_e_verifiche/
├── 03_mount_readonly/
├── 04_info_sistema/
├── 05_utenti/
├── 06_macos_artifacts/
├── 07_linux_artifacts/
├── 08_logs/
├── 09_plaso_timeline/
├── 10_timesketch/
├── 11_autopsy_export/
├── 12_sleuthkit_output/
├── 13_screenshot_documentativi/
├── 14_note_analisi/
├── 15_relazione/
└── 16_allegati/

La cartella 01_immagine_forense contiene l’immagine ricevuta o acquisita. Le cartelle 06_macos_artifacts, 07_linux_artifacts e 09_plaso_timeline conterranno gli output tecnici.

9. Verificare hash e integrità prima dell’analisi

Prima di aprire o montare l’immagine, verificarne l’hash.

Windows PowerShell

Get-FileHash "D:\Casi\MQ-2026-0045\01_immagine_forense\macbook.E01" -Algorithm SHA256

Linux

sha256sum macbook.dd

macOS

shasum -a 256 macbook.dmg

Annotazione minima

Data/Ora:
Operatore:
File immagine:
Algoritmo:
Hash atteso:
Hash calcolato:
Esito: coincidente / non coincidente
Note:

10. Montare immagini e supporti in sola lettura

La regola è semplice: mai montare in scrittura l’immagine o il supporto originale.

Linux: montare immagine raw in sola lettura

Prima identificare le partizioni:

mmls immagine.dd
fdisk -l immagine.dd

Se la partizione inizia al settore START, calcolare l’offset:

offset = START × 512

Esempio:

sudo mount -o ro,loop,offset=1048576 immagine.dd /mnt/evidence

EXT4: evitare journal replay

sudo mount -o ro,noload,loop,offset=1048576 immagine.dd /mnt/evidence

macOS: hdiutil

hdiutil attach -readonly -nomount immagine.dmg
hdiutil detach /dev/diskX

Non usare Finder o strumenti grafici per riparare, inizializzare o modificare il contenuto. Se il sistema propone riparazioni, rifiutare e documentare.

11. Identificare file system e partizioni

Prima di cercare prove, bisogna capire come è strutturato il supporto.

Sleuth Kit: mmls

mmls immagine.dd

fsstat

fsstat -o OFFSET immagine.dd

fls

fls -o OFFSET immagine.dd

Formula da usare nel verbale:

L’immagine è stata esaminata preliminarmente mediante strumenti di analisi file system, al fine di identificare partizioni, volumi, file system e struttura generale del supporto.

12. macOS: cosa analizzare prima

Per un Mac, le prime domande operative sono:

• Quale versione macOS?
• APFS o HFS+?
• FileVault attivo?
• Sono presenti snapshot APFS o Time Machine?
• Quali utenti?
• Quale timezone?
• Quali applicazioni installate?
• Quali volumi?
• Quali log?
• Sono presenti dati iCloud, Safari/Chrome, messaggi, note o email?

13. macOS APFS: volumi System e Data

Nei macOS moderni, soprattutto da Catalina in poi, il sistema può avere una separazione tra System Volume e Data Volume. I dati utente sono principalmente nel volume Data.

• contenitore APFS
• volumi presenti
• volume System
• volume Data
• eventuali snapshot
• cifratura
• mount point
• utenti

Apple Disk Utility consente di visualizzare gli APFS snapshots selezionando il volume e usando “Show APFS Snapshots”.

14. FileVault e cifratura macOS

FileVault è la cifratura integrata di macOS. Non si aggira FileVault: si lavora solo con password o recovery key fornite lecitamente, volume già sbloccato con autorizzazione o backup accessibile con autorizzazione.

15. mac_apt: strumento principale per macOS

mac_apt è uno strumento DFIR per processare immagini full disk di computer Mac o macchine live ed estrarre dati e metadati utili all’investigazione.

Comando base su immagine E01

python3 mac_apt.py -o /casi/MQ-2026-0045/06_macos_artifacts E01 /casi/MQ-2026-0045/01_immagine_forense/macbook.E01 FAST

Comando su immagine DD

python3 mac_apt.py -o /casi/MQ-2026-0045/06_macos_artifacts DD /casi/MQ-2026-0045/01_immagine_forense/macbook.dd FAST

Plugin specifici

python3 mac_apt.py -o /casi/MQ-2026-0045/06_macos_artifacts E01 macbook.E01 BASICINFO USERS RECENTITEMS SAFARI FSEVENTS QUARANTINE INSTALLHISTORY UNIFIEDLOGS

Annotazione registro

Data/Ora:
Strumento: mac_apt
Versione:
Input: macbook.E01
Input type: E01
Plugin: FAST / elenco plugin
Output: 06_macos_artifacts
Operatore:
Note:

16. macOS: artefatti principali

Basic information

• nome computer
• seriale
• versione macOS
• timezone
• utenti
• ultimo utente
• volumi
• informazioni file system

Utenti

/Users/
/private/var/db/dslocal/nodes/Default/users/

Annotare username, UID, home directory, date rilevanti, ruolo amministratore o standard e profili cancellati se rilevabili.

Applicazioni

/Applications/
/Users/<utente>/Applications/

Artefatti utili: InstallHistory.plist, app list, LaunchAgents, LaunchDaemons, Recent Items.

17. macOS: FSEvents

FSEvents registra attività sul file system e può essere utile per capire creazioni, modifiche, rinomine e cancellazioni.

/.fseventsd/
/System/Volumes/Data/.fseventsd/

• file creati
• file modificati
• cartelle rinominate
• attività su volumi esterni
• attività su cartelle utente
• periodi di interesse

Formula prudente:

Gli artefatti FSEvents possono documentare attività file system compatibili con creazione, modifica, rinomina o cancellazione di percorsi. La loro interpretazione richiede correlazione con ulteriori artefatti, timestamp e contesto utente.

18. macOS: Spotlight

Spotlight indicizza file e metadati. Può aiutare a ricostruire nomi file, percorsi, date, documenti indicizzati e file non facilmente visibili. Non è però una verità assoluta: è un indice e può essere incompleto, non aggiornato o assente.

19. macOS: Unified Logs

macOS utilizza un sistema di logging unificato. Su sistema autorizzato, il comando log permette l’accesso ai messaggi del sistema di logging.

log show --last 24h --style syslog
log show --last 24h --predicate 'process == "loginwindow"'
log show --last 24h --style json > unified_log_24h.json

Per immagini o sistemi acquisiti, preferire strumenti come mac_apt UNIFIEDLOGS, parser specializzati o suite commerciali.

20. macOS: Quarantine Events e file scaricati

Gli artefatti Quarantine possono aiutare a capire se un file è stato scaricato da Internet, da quale applicazione, quando e con quale possibile URL.

Formula prudente:

Gli artefatti Quarantine possono essere compatibili con il download o l’apertura di file provenienti da fonti esterne. Devono essere correlati con browser history, file system e applicazioni.

21. macOS: Safari, Chrome e browser

Percorsi Safari

/Users/<utente>/Library/Safari/
/Users/<utente>/Library/Caches/com.apple.Safari/

Percorsi Chrome

/Users/<utente>/Library/Application Support/Google/Chrome/

Cercare cronologia, download, URL, ricerche, cartella download, sessioni, file scaricati, estensioni e accessi cloud. Analizzare solo ciò che è pertinente al quesito tecnico.

22. macOS: iMessage, Notes, Mail

Questi artefatti sono delicati e contengono dati personali. L’analisi deve essere limitata al quesito tecnico.

23. macOS: LaunchAgents e LaunchDaemons

/Library/LaunchAgents/
/Library/LaunchDaemons/
/System/Library/LaunchAgents/
/System/Library/LaunchDaemons/
/Users/<utente>/Library/LaunchAgents/

Cercare file plist sospetti, percorsi in /tmp o /Users, applicazioni non note, job creati di recente, script, agenti di accesso remoto e software rilevanti.

Formula:

Gli elementi LaunchAgents e LaunchDaemons sono stati esaminati per verificare programmi o servizi configurati per l’avvio automatico. La loro presenza non dimostra di per sé attività illecita e richiede correlazione con file system, log e timeline.

24. macOS: Terminal history

/Users/<utente>/.zsh_history
/Users/<utente>/.bash_history
/Users/<utente>/.bash_sessions/

Cercare comandi di copia, compressione, accessi SSH, scp, rsync, mount di volumi, uso di strumenti media, tool AI locali, comandi di cancellazione e comandi sudo.

25. macOS: Time Machine e snapshot

Time Machine e APFS snapshots possono aiutare a vedere versioni precedenti, cartelle eliminate e stati pregressi di documenti o configurazioni.

• snapshot locali
• backup Time Machine
• versioni precedenti file
• cartelle eliminate
• stato pregresso di documenti

Formula:

Sono stati verificati eventuali snapshot APFS o backup Time Machine disponibili, al fine di valutare la presenza di versioni precedenti di file o configurazioni rilevanti.

26. macOS: software di editing audio, video, immagini e AI

Per periziainformatica.legal è importante verificare se un Mac contiene software per editing audio, editing video, montaggio, conversione, compressione, generazione voce, deepfake, generazione immagini, modifica PDF, AI locale o sintesi vocale.

Artefatti utili

• Applications
• InstallHistory.plist
• Recent Items
• Saved Application State
• Terminal history
• browser downloads
• Quarantine Events
• FSEvents
• Spotlight
• file progetto
• cartelle export

Formula prudente:

Sono state rilevate tracce compatibili con presenza o utilizzo di applicazioni di editing o generazione multimediale. Tali elementi non dimostrano da soli la manipolazione di uno specifico file e devono essere correlati con file di progetto, esportazioni, metadati e timeline.

27. Linux: cosa analizzare prima

Per Linux, iniziare da distribuzione, kernel, hostname, timezone, utenti, file system, partizioni, servizi, log, SSH, sudo, cron, package manager, cartelle home, processi/servizi configurati, container e web server.

28. Linux: identificare distribuzione e sistema

File principali

/etc/os-release
/etc/hostname
/etc/timezone
/etc/localtime
/etc/passwd
/etc/group
/etc/shadow
/etc/sudoers
/etc/fstab

Comandi su copia/mount read-only

cat /mnt/evidence/etc/os-release
cat /mnt/evidence/etc/hostname
cat /mnt/evidence/etc/timezone
cat /mnt/evidence/etc/passwd
cat /mnt/evidence/etc/group
cat /mnt/evidence/etc/fstab

Scheda sistema Linux

Distribuzione:
Versione:
Kernel:
Hostname:
Timezone:
Utenti:
UID rilevanti:
Gruppi:
Servizi principali:
File system:
Partizioni:
LVM:
Cifratura:
Log disponibili:

29. Linux: file system EXT4, XFS, Btrfs

EXT4 è molto frequente e può contenere inode, journal, timestamp, directory entries, file cancellati e metadati. XFS è comune su server e sistemi enterprise. Btrfs può includere snapshot e subvolumi.

Prima identificare il file system, poi scegliere lo strumento:

lsblk -f
blkid
fsstat
file -s

30. Linux: montare EXT4 in sola lettura

Esempio su immagine raw:

sudo mount -o ro,noload,loop,offset=1048576 immagine.dd /mnt/evidence

Se si tratta di un device già identificato:

sudo mount -o ro,noload /dev/sdb1 /mnt/evidence

Annotare data/ora, comando, operatore, opzioni usate, mount point e note.

31. Linux: LVM

Linux può usare LVM. Attivare volumi senza attenzione può creare confusione o modifiche. Lavorare su immagine o copia e documentare ogni comando.

sudo pvscan
sudo vgscan
sudo lvscan
sudo vgchange -ay --readonly

32. Linux: LUKS e cifratura

LUKS è comune su Linux. Non si aggira la cifratura: si lavora solo con password o keyfile forniti lecitamente, volume già sbloccato, backup autorizzato o acquisizione live autorizzata.

Formula:

Il volume risulta protetto da cifratura. Ogni attività di accesso ai dati richiede credenziali o chiavi fornite lecitamente dall’avente diritto. Non sono state eseguite attività di bypass o aggiramento.

33. Linux: log principali e systemd journal

Percorsi principali

/var/log/
/var/log/auth.log
/var/log/secure
/var/log/syslog
/var/log/messages
/var/log/kern.log
/var/log/dmesg
/var/log/audit/audit.log
/var/log/nginx/
/var/log/apache2/
/var/log/httpd/
/var/log/cron
/var/log/maillog

journalctl

journalctl --since "2026-07-01" --until "2026-07-10"
journalctl --directory=/mnt/evidence/var/log/journal --since "2026-07-01"
journalctl --directory=/mnt/evidence/var/log/journal --since "2026-07-01" --until "2026-07-10" > 08_logs/journal_periodo.txt

Formula:

I log systemd journal sono stati esaminati in relazione al periodo indicato, con esportazione degli eventi pertinenti e conservazione dell’output nella cartella tecnica del caso.

34. Linux: accessi SSH

Su Debian/Ubuntu cercare /var/log/auth.log; su Red Hat/CentOS/Fedora cercare /var/log/secure. Con systemd usare journalctl -u ssh o journalctl -u sshd.

grep -i "Accepted" auth.log
grep -i "Failed password" auth.log
grep -i "Invalid user" auth.log
grep -i "session opened" auth.log

Formula prudente:

I log SSH documentano eventi tecnici di autenticazione e sessione. L’attribuzione dell’attività a una persona fisica richiede correlazione con account, indirizzo IP, orario, contesto, ulteriori log e dati disponibili.

35. Linux: sudo e privilegi

Cercare in /var/log/auth.log, /var/log/secure e /var/log/audit/audit.log.

grep -i "sudo" auth.log
grep -i "COMMAND=" auth.log

Formula:

Gli eventi sudo rilevati indicano l’esecuzione di comandi con privilegi amministrativi da parte dell’utente indicato dal sistema. L’analisi richiede verifica di timestamp, host, comando, sessione e contesto.

36. Linux: cron e attività pianificate

/etc/crontab
/etc/cron.d/
/etc/cron.daily/
/etc/cron.hourly/
/etc/cron.weekly/
/etc/cron.monthly/
/var/spool/cron/
/var/spool/cron/crontabs/

Cercare script sconosciuti, comandi in /tmp, download, esecuzioni ripetute, backup, rsync, curl, wget, Python, Perl o Bash.

37. Linux: bash, zsh e shell history

/home/<utente>/.bash_history
/home/<utente>/.zsh_history
/root/.bash_history
/root/.zsh_history

Cercare comandi cp, mv, rm, rsync, scp, sftp, ssh, tar, zip, curl, wget, mount, umount, sudo, editor e script.

38. Linux: utenti, gruppi e home directory

/etc/passwd
/etc/group
/etc/sudoers
/etc/sudoers.d/
/home/<utente>/
/root/

Cercare utenti non noti, UID 0 non standard, utenti creati di recente, home directory, file nascosti, .ssh, .config, .local, .cache, Downloads, Documents e Desktop.

39. Linux: SSH keys e authorized_keys

/home/<utente>/.ssh/
/root/.ssh/
authorized_keys
known_hosts
config
id_rsa
id_ed25519

Non usare chiavi private, non copiare chiavi fuori dal fascicolo se non strettamente necessario e autorizzato, non tentare accessi.

Formula:

Sono stati rilevati artefatti SSH nella home directory dell’utente. L’analisi è stata limitata alla documentazione tecnica di presenza, percorso, timestamp e correlazione con log di accesso, senza utilizzo operativo delle credenziali.

40. Linux: mount, dispositivi e USB

Fonti principali: /var/log/syslog, /var/log/messages, /var/log/kern.log, journalctl, dmesg logs, /media/, /mnt/, /run/media/.

grep -i "usb" syslog
grep -i "sd[a-z]" syslog
grep -i "mount" syslog

Formula:

I log di sistema sono stati esaminati per individuare eventi compatibili con collegamento, rilevamento o montaggio di dispositivi esterni. La presenza di tali eventi deve essere correlata con file system, percorsi utente e timeline.

41. Linux: package manager logs

Debian/Ubuntu

/var/log/dpkg.log
/var/log/apt/history.log
/var/log/apt/term.log

Red Hat/CentOS/Fedora

/var/log/dnf.log
/var/log/yum.log

Cercare installazioni, rimozioni, aggiornamenti, tool di rete, software server, programmi sospetti e software di compressione o conversione.

42. Linux: servizi systemd

/etc/systemd/system/
/lib/systemd/system/
/usr/lib/systemd/system/

Su sistema autorizzato:

systemctl list-unit-files
systemctl list-units --type=service

Su immagine montata, esaminare i file unit cercando servizi custom, servizi recenti, ExecStart sospetti, script in /tmp, utenti di esecuzione e timer.

43. Linux: web server logs

Apache

/var/log/apache2/access.log
/var/log/apache2/error.log
/var/log/httpd/access_log
/var/log/httpd/error_log

Nginx

/var/log/nginx/access.log
/var/log/nginx/error.log

Cercare IP, timestamp, URL, metodo, status code, user agent, upload, download, 404, POST e sequenze temporali anomale.

44. Linux: Docker e container

/var/lib/docker/
/etc/docker/

Cercare container, immagini, volumi, log container, compose file, variabili ambiente, mount e timestamp. I container possono contenere dati applicativi e segreti: analizzare solo quanto autorizzato e pertinente.

45. Linux: auditd

Se attivo, auditd può essere molto utile. Percorso tipico:

/var/log/audit/audit.log

Comandi autorizzati:

ausearch -if audit.log -k nome_chiave
aureport -if audit.log

Formula:

I log auditd, ove presenti, sono stati esaminati con strumenti dedicati per ricostruire eventi di sistema rilevanti, privilegi e accessi a risorse monitorate.

46. Timeline con Plaso/log2timeline

La timeline è centrale sia per macOS sia per Linux. Plaso/log2timeline consente di creare timeline automatiche e super timeline.

log2timeline.py 09_plaso_timeline/caso.plaso /mnt/evidence
psort.py -o l2tcsv 09_plaso_timeline/caso.plaso > 09_plaso_timeline/caso_timeline.csv

1. Montare immagine in sola lettura.
2. Verificare mount point.
3. Eseguire log2timeline.
4. Attendere elaborazione.
5. Esportare CSV.
6. Importare in Timesketch o Timeline Explorer.
7. Filtrare periodo.
8. Cercare utenti, file, programmi, IP, volumi.
9. Annotare eventi chiave.

47. Timesketch

Timesketch è uno strumento open source per analisi collaborativa di timeline forensi. Può importare Plaso, CSV e JSON.

• creare nuovo sketch
• importare timeline Plaso o CSV
• filtrare per data
• taggare eventi rilevanti
• annotare ipotesi
• salvare viste
• esportare elementi utili alla relazione

48. Autopsy per macOS e Linux

1. Aprire Autopsy.
2. Creare nuovo caso.
3. Inserire nome caso.
4. Aggiungere data source.
5. Selezionare immagine disco.
6. Impostare timezone.
7. Selezionare ingest modules.
8. Avviare analisi.
9. Esaminare file system, timeline, web artifacts.
10. Esportare risultati rilevanti.

Vantaggi: interfaccia grafica, ricerca keyword, file cancellati, timeline, hash sets, web artifacts, file metadata e report. Limiti: macOS moderno con APFS cifrato o strutture System/Data può richiedere strumenti più specializzati come mac_apt o suite commerciali.

49. Sleuth Kit: comandi base

Formula:

Gli strumenti Sleuth Kit sono stati utilizzati per esaminare struttura di partizione, file system, inode e file rilevanti, lavorando sull’immagine forense e non sul supporto originale.

50. Caso pratico 1 — MacBook usato per modificare un audio

Scenario: un avvocato di Roma chiede se un file audio contestato sia stato modificato su un MacBook.

1. Verificare immagine e hash.
2. Identificare versione macOS.
3. Identificare utenti.
4. Eseguire mac_apt con plugin FAST.
5. Estrarre APPLIST, INSTALLHISTORY, RECENTITEMS, FSEVENTS, QUARANTINE, SAFARI/CHROME.
6. Cercare nome file audio.
7. Cercare estensioni .wav, .mp3, .m4a, .aiff, .aup3, .logicx.
8. Cercare software audio.
9. Correlare timeline.
10. Redigere conclusione prudente.

Formula:

Sono state rilevate tracce compatibili con presenza/apertura/esportazione di file audio sul sistema macOS. L’attribuzione della modifica a uno specifico programma o utente richiede correlazione tra file system, artefatti applicativi, metadati e timeline.

51. Caso pratico 2 — Server Linux con accesso sospetto

Scenario: un’azienda di Roma sospetta accessi non autorizzati a un server Linux.

1. Verificare immagine o copia log autorizzata.
2. Identificare distribuzione.
3. Esaminare /var/log/auth.log o /var/log/secure.
4. Esaminare journalctl.
5. Esaminare utenti e gruppi.
6. Esaminare sudo.
7. Esaminare SSH authorized_keys.
8. Esaminare cron e systemd services.
9. Esaminare web server logs, se pertinente.
10. Costruire timeline.
11. Correlare IP, utenti e comandi.

Formula:

I log analizzati documentano eventi tecnici di autenticazione e sessione. L’attribuzione dell’attività a una persona fisica o a una condotta specifica richiede correlazione con IP, account, orari, comandi, log applicativi e contesto aziendale.

52. Caso pratico 3 — Linux usato per generare o convertire file

1. Cercare file e nomi simili.
2. Cercare history shell.
3. Cercare programmi installati.
4. Cercare ffmpeg, sox, imagemagick, python, tools AI.
5. Cercare cartelle progetto.
6. Cercare export.
7. Esaminare mtime/ctime/atime con prudenza.
8. Cercare log applicativi.
9. Costruire timeline.

Formula:

Sono state ricercate tracce compatibili con conversione, elaborazione o generazione di file multimediali sul sistema Linux. La presenza di strumenti o comandi compatibili non dimostra da sola la manipolazione dello specifico file oggetto di perizia.

53. Caso pratico 4 — Mac con file scaricato da Internet

1. Cercare file nel file system.
2. Analizzare Quarantine Events.
3. Analizzare Safari/Chrome history.
4. Analizzare Downloads.
5. Analizzare Recent Items.
6. Analizzare FSEvents.
7. Verificare metadati file.
8. Costruire timeline.

Formula:

Gli artefatti esaminati possono documentare elementi compatibili con il download o l’apertura del file da fonte esterna, ma devono essere valutati insieme a cronologia browser, Quarantine Events, percorso del file e metadati.

54. Caso pratico 5 — USB collegata a Mac o Linux

Formula:

Sono state ricercate tracce compatibili con collegamento o montaggio di volumi esterni. La prova di copia di file richiede correlazione tra eventi di montaggio, percorsi, file system, cronologia utente e timeline.

55. Errori da evitare

1. Montare evidenze in scrittura.
2. Ignorare APFS System/Data.
3. Ignorare FileVault o LUKS.
4. Leggere solo /home su Linux senza analizzare /var/log ed /etc.
5. Ignorare timezone.
6. Concludere da un solo log.
7. Usare comandi live senza documentazione.
8. Trattare history shell come prova assoluta.
9. Ignorare cloud e sincronizzazioni.
10. Non salvare output.

56. Checklist operativa completa

57. Output minimo del capitolo

1. scheda sistema
2. elenco utenti
3. elenco volumi/file system
4. output mac_apt, se macOS
5. output log Linux, se Linux
6. output Sleuth Kit
7. output Autopsy, se usato
8. timeline Plaso
9. esportazioni Timesketch o CSV
10. screenshot documentativi
11. note sui limiti
12. tabella eventi rilevanti
13. bozza conclusioni tecniche

58. Modelli di note tecniche

macOS

L’analisi è stata eseguita sull’immagine forense del sistema macOS, con particolare attenzione a volumi APFS, utenti, artefatti applicativi, FSEvents, Spotlight, elementi recenti, log e timeline.

FileVault

Il volume risulta protetto da FileVault. Ogni accesso al contenuto richiede password o recovery key fornita lecitamente dall’avente diritto.

Linux

L’analisi è stata eseguita sull’immagine/copia verificata del sistema Linux, con esame di utenti, log, servizi, SSH, sudo, cron, file system e timeline.

Timeline

La timeline è stata costruita combinando fonti file system, log e artefatti applicativi. Gli eventi individuati sono stati interpretati in relazione ai quesiti tecnici e ai limiti del materiale disponibile.

Limiti

Le conclusioni sono formulate nei limiti dei dati disponibili, della completezza dei log, della configurazione del sistema, della cifratura e dello stato dell’immagine forense.

59. Figure consigliate per la pagina

60. Collegamenti interni consigliati

Capitoli precedenti e successivi

• Capitolo 01 · Triage iniziale della prova digitale a Roma
• Capitolo 02 · Catena di custodia, hash e verbale tecnico
• Capitolo 03 · Copia forense di hard disk, SSD, pendrive e NAS
• Capitolo 04 · Analisi forense di computer Windows
• Capitolo 05 · Analisi forense di macOS e Linux
• Capitolo 06 · Acquisizione forense di smartphone Android

Capitoli correlati

• Cloud forensics: Google, Microsoft, Dropbox e backup
• Timeline forense e ricostruzione cronologica degli eventi
• Incident response forense e ransomware
• Autenticità audio: tagli, montaggi e ricodifiche
• Relazione tecnica, CTP informatico e contestazione delle prove digitali

Pagine servizio

• Perizia informatica forense a Roma
• Recupero dati probatori
• Accessi abusivi, log e account
• Analisi video, immagini e deepfake
• Consulente tecnico di parte informatico
• Contatti

61. Riferimenti tecnici esterni

1. Apple File System Reference — APFS come file system predefinito Apple e successore di HFS Plus.
2. Apple Disk Utility APFS snapshots — visualizzazione e metadati degli snapshot APFS.
3. Apple FileVault support — protezione dati con FileVault.
4. mac_apt GitHub — strumento DFIR per processare immagini Mac e artefatti macOS.
5. mac_apt Sample Usage — sintassi E01, DD, DMG, VMDK, AFF4, MOUNTED e plugin.
6. The Sleuth Kit — strumenti CLI per analisi di immagini disco e file system.
7. Autopsy Data Sources — data source come immagini disco, file logici e dischi locali.
8. Plaso/log2timeline — creazione di timeline forensi automatiche.
9. Plaso output and formatting — esportazione con psort.py e psteal.py.
10. Timesketch — analisi collaborativa di timeline forensi.
11. Timesketch upload/import — importazione di Plaso, CSV e JSON.
12. Linux kernel EXT4 documentation — descrizione EXT4.
13. journalctl manual page — lettura log systemd journal.
14. Red Hat auditd — audit service, ricerca e report log.

62. Box commerciale finale

63. Conclusione del capitolo

L’analisi forense di macOS e Linux richiede metodo, pazienza e conoscenza dei sistemi.

Il Mac non è un Windows più elegante: ha APFS, snapshot, FileVault, Unified Logs, FSEvents, Spotlight, plist, iCloud, Time Machine e un ecosistema di artefatti specifici.

Linux non è un computer generico: può essere desktop, server, NAS, VPS, workstation tecnica, ambiente Docker, sistema di logging, web server o piattaforma aziendale.

Prima capisci il sistema. Poi mappa gli utenti. Poi raccogli artefatti. Poi costruisci la timeline. Solo alla fine scrivi conclusioni.

Nel prossimo capitolo il manuale passerà al mondo mobile: Capitolo 06 · Acquisizione forense di smartphone Android.