Behovet av att analysera volatilt minne från Macintosh-datorer med OS X har blivit allt mer betydelsefull på grund av att deras datorer blivit allt populärare och att volatil minnesanalysering blivit en allt viktigare del i en IT-forensikers arbete. Anledningen till att volatil minnesanalysering blivit allt viktigare är för att det går att finna viktig information som inte finns lagrad permanent på datorns interna hårddisk. Problemet som låg till grunden för det här examensarbetet var att det uppenbart fanns brist på undersökningsmetoder av det volatila minnet för Mac-datorer med OS X.Syftet med detta arbete var därför att undersöka möjligheten att utvinna information från ett volatilt minne från en Mac-dator med OS X genom att kartlägga och bedöma olika undersökningsmetoder. För att göra denna undersökning har litteraturstudier, informella intervjuer, egna kunskaper och praktiska försök genomförts.Slutsatsen blev att möjligheten att utvinna information från det volatila minnet från en Mac-dator med OS X är relativt begränsad. Det största problemet är själva dumpningen av minnet. Många av dumpningsmetoderna som finns att tillgå kräver administrativa rättigheter. Vid analysering av en minnesdump bör man aldrig förlita sig på en analysmetod då olika analysmetoder ger olika resultat som kan vara till nytta för en vidare undersökning av en Mac-dator. / The need to analyze volatile memory on Macintosh computers with OS X has become increasingly important due to the fact that their computers have become more popular and volatile memory analysis has become a more important part of an IT-forensics work. The reason volatile memory analysis has become more important is that it's possible to find information that’s not stored permanently on the computer’s hard drive. The problem that formed the basis for this thesis was that it was obvious there was a lack of methods of investigation of the volatile memory for Macs running OS X.The aim of this work was therefore to investigate the possibility of extracting information from a volatile memory from a Mac computer with OS X by identifying and assessing different methods of investigation. To do this investigation, literature studies, informal interviews, own knowledge and practical attempts have been conducted.It was concluded that the ability to extract information from the volatile memory from a Mac-computer with OS X is relatively limited. The biggest problem is the dumping of the memory. Many of the available dumping methods require administrative rights. When analyzing a memory dump you should never rely on one analyze method since different analyze methods give different results that can be useful for further investigation of a Mac-computer.
| Identifer | oai:union.ndltd.org:UPSALLA1/oai:DiVA.org:du-17319 |
| Date | January 2014 |
| Creators | Ogeskär, Tobias |
| Publisher | Högskolan Dalarna, Datateknik |
| Source Sets | DiVA Archive at Upsalla University |
| Language | Swedish |
| Detected Language | English |
| Type | Student thesis, info:eu-repo/semantics/bachelorThesis, text |
| Format | application/pdf |
| Rights | info:eu-repo/semantics/openAccess |
Page generated in 0.0021 seconds