『LOST』に出てくるあの化け物に食べられる前に、AxiomでAPFSを解析する

2017年後半、AppleはmacOS High Sierraとともに展開されるAPFSファイルシステムを発表した。

以下の部分は、Appleのサポート記事から抜粋したものです。

macOS High Sierraをソリッドステートドライブ（SSD）またはその他のオールフラッシュストレージデバイスのMacボリュームにインストールすると、そのボリュームは自動的にAPFSに変換されます。Fusion  Drive、従来のハードディスクドライブ（HDD）、およびMac以外のボリュームは変換されません。APFSへの移行を無効にすることはできません。

APFSを「オプトアウト」する方法を紹介する記事がいくつか出回っていますが、それでも、ソリッドステートドライブを搭載したHigh Sierraシステムの99%はAPFSが動作している可能性が高いでしょう。

では、次のシナリオを想像してみてください。

あなたはAPFSボリュームのフォレンジックイメージと、お気に入りの市販フォレンジックツールが詰まったツールボックスだけを持って孤島に取り残されました。APFSボリュームにはiPhone 6sのバックアップが含まれており、その中には絶品のココナッツモヒートの作り方が書かれたWhatsAppメッセージが入っています。日没までにモヒートを作るには、そのメッセージにアクセスする必要があります。もし失敗したら、インターネットカフェのWindows 7搭載PC26台のUSBデバイス履歴を手動で分析しなければならず、その後、ドラマ「LOST」で人々を食っていたあの怪物に食べられてしまうかもしれません。

それでは、選択肢は以下のとおりです。

• Blackbagのブラックライト― ええ、ちゃんと機能しますよ。
• 検死機能— バージョン4.7以降はサポートされていません。
• AccessData FTK — バージョン6.4の時点ではサポートされていません。オンラインのテクニカルサポートによると、APFSのサポートは今後のリリースで予定されているものの、具体的な時期は未定とのことです。
• Magnet Forensics Axiom — バージョン2.1.0.9727の時点ではサポートされていません。Jad Saliba氏は、ラスベガスで開催されたMagnet User Summit（2018年5月）で、現在対応中だが、リリース時期は未定だと述べました。
• OpenText EnCase — 公式には：はい、非公式には：まあまあ。EnCaseはバージョン8.07でAPFSサポートを発表しましたが、EnCaseがAPFSボリュームの解析を拒否するMacを2台経験しました。そのうち1つのイメージでいくつかのテストを行いました。BlackbagのBlacklightでは問題なく解析でき、ParagonのAPFSマウンターとSimon GanderのAPFS-Fuseライブラリの両方でマウントできます。OpenTextのテクニカルサポートが現在この問題を調査しています。
• X-ways — バージョン19.6ではサポートされていませんが、Ericのツイートによると、近いうちにサポートされる予定です。

 

プランA：ブラックバッグ

Blackbagが「APFS向けの唯一のエンドツーエンドソリューション」であるという大量のツイートをスクロールして自信を深めた後、30日間のトライアルライセンスがちょうど期限切れになったことに気づきます。運命を受け入れて「USBプロファイリングのチートシートなし」をGoogleで検索しようとしたとき、Mari DegraziaによるAPFSイメージのマウントに関する2つの記事が見つかります。

• http://az4n6.blogspot.com/2018/01/mounting-apfs-image-in-linux.html
• http://az4n6.blogspot.com/2018/01/how-to-mount-mac-apfs-images-in-windows.html

日が暮れ始め、興味を失う前に実際に何話の『LOST』を見たのか思い出そうとするうちに、あなたは新しい計画を立てる。

 

プランB：Axiomなどを使ってAPFSを処理する手っ取り早い方法。

私は特に、Axiomを使ってAPFSイメージを解析する方法を探していました。

以下の方法は効果がなかった。

実験1：

Arsenal Image Mounter を使用して E01 をマウントします > Paragon の 'APFS for Windows' を使用して生成された APFS パーティションをマウントします > Axiom にファイルとフォルダを追加します。

結果：処理は完了しましたが、一部のファイルではAxiomが実際のソースファイルへのリンクを正しく作成できず、コンテンツが表示されませんでした。原因は不明ですが、マウントされたイメージのマウント処理に問題がある可能性が高いです。

 

実験2：

Arsenal Image Mounter を使用して E01 をマウント > Paragon の 'APFS for Windows' を使用して APFS パーティションをマウント > FTK Imager を使用して AD イメージを作成 > Axiom を使用して AD イメージを処理。

結果：処理は完了しましたが、処理されたファイルの一部で実際のコンテンツの表示に再び問題が発生しました。ADイメージの作成中に、FTK Imagerは論理イメージに追加できない大量のファイルに遭遇しました。これもまた、さまざまなマウントが原因である可能性が高いです。

 

実験3：

ewfmount (libewf) を使用して SIFT に E01 をマウント > APFS-fuse を使用して APFS パーティションをマウント > マウントされたデータの tar ファイルを作成 > Axiom を使用して tar ファイルを処理する

結果：今回も同様の結果が得られ、Axiomはデータを処理しましたが、一部のファイルについては実際のコンテンツが表示されませんでした。

 

この段階では、ほとんどの孤立したフォレンジック担当者は諦めて、USBSTORとボリュームGUIDに頼る生活を受け入れているだろう。しかし幸運なことに、あなたは普通のフォレンジック担当者とは違い、もう1つの方法を試みる。

実験4：

1. ewfmount (libewf) を使用して、SIFTに E01 をマウントします。
2. APFSパーティションをAPFS-fuseでマウントする
3. 空のDDイメージを作成し、ボリュームを割り当てて、マウントされたAPFSデータを新しいDDイメージにコピーします。ファイルとフォルダからDDイメージを作成する手順の詳細については、Andy Joyce氏の2009年の投稿（http://dougee652.blogspot.com/2009/06/logical-evidence-collection-stored-in.html ）を参照してください。
4. Axiomを使用してDDイメージを処理する。
5. 成功とモヒート。

Axiomは、DDファイルと、APFSボリュームに保存されていたiPhoneのバックアップファイルを一度に処理することに満足していた。

はい、マウントしたデータをDDコンテナにコピーすると、ファイルの作成日時が更新されます。もし不安に感じるなら、先ほどAPFSボリュームをマウントするために「実験的な」ドライバを使用したことを思い出してください。

少なくともLOSTに出てくるあの怪物は君を食べなかった… #勝利