Mac のトリアージ、ライブ保全が可能なイメージングツール
MacQuisitionは、Apple の T2チップ搭載機から物理イメージの作成も可能な Mac 用フォレンジック保全ツールです。提供される USB ドライブ1台で、旧来の Mac OS X 搭載機から最新の macOS 搭載機まで、180を超えるデバイスから分解を行わずに安全な証拠保全を行えます。T2 チップや Fusion Drive、Mac 特有のファイルシステム (HFS+ / APFS) にマルチに対応します。
ホーム > 製品・サービスを探す > 「保全・データ収集ソフトウェア」の製品一覧 > MacQuisition
MacQuisition では、ライブ保全に先立ち、インシデントに関連するデータがデバイス内に存在するかどうかの選別が可能です。デバイスに含まれるデータの種類や数量から保全すべきデバイスかどうかを事前に把握できることで不要なデータ収集を抑制し、調査員は必要なデバイスにだけ注力することができます。
保全対象はさらに検索による絞り込みも行うことができます。また、画像、動画、Office 関連ファイル、PDF に対しては、MacQuisition 内でMac のQuickLook を利用したプレビューが利用可能なため、保全現場でのファイル内容をチェックして簡易調査を行えます。
MacQuisition では、オリジナルのファイルの持つメタデータを保持した状態で保全を行います。フォレンジックでは、ファイルそのもの以上にファイルが保持する付随的な属性情報が重要な意味を持つことも少なくありません。APFS や HFS+ でないと失われてしまうような情報も MacQuisition なら保全可能です。
収集したデータは完全性を検証するため、ユーザーの選択に応じて MD5、SHA-1、SHA-256のハッシュ値のいずれか、もしくは全てをファイルごとに計算します。
MacQuisition は、ライブ保全時に Mac のメモリ (RAM) の保全が行える数少ないソリューションの1つです。
MacQuisition を収めた USB から起動してイメージを作成する場合、T2チップ搭載機でも物理イメージの作成が可能です。FileVault2 による暗号化設定がある場合、パスワードやキーチェーンファイルもしくはリカバリーキーを提供することで、書込防止の状態のまま復号、マウントして保全が可能です。
保全結果は E01 形式の他、Mac で標準的に使用される .dmg 形式でも出力することができます。
製品・サービス等に関するお問い合わせはこちら
クオリティネット株式会社 サイバーフォレンジック事業部
03-6260-9237