للاستزادة والتوسع الأكاديمي: إذا كنت ترغب في إثراء حصيلتك التقنية وقراءة مقالات وتحليلات تفصيلية حول أدوات ومفاهيم هذا الدرس، يمكنك زيارة قسم التحقيق الجنائي الرقمي في مدونة Digital Shield Lab للحصول على شرح معمّق وتطبيقات عمل إضافية.

المفهوم / المحور الأساسي:

تجميع وتوحيد الآثار الجنائية (Artifacts) المستخرجة من مختلف مكونات نظام macOS (مثل APFS Timestamps, Unified Logs, Safari History, Spotlight, Keychain, TCC) وإنشاء خط زمني شامل (Super Timeline) باستخدام أداة mac_apt لربط السلوكيات المترابطة ورصد أنشطة الخصم خطوة بخطوة.

محتوى الغرفة (Content):

ماذا ستتعلم في هذه الغرفة؟

• مفهوم الخط الزمني الموحد (Super Timeline) وأهميته في التحقيق الجنائي المتقدم.

• إعداد واستخدام أداة mac_apt (macOS Artifact Parsing Tool) لمعالجة الصور الجنائية وتوليد مخرجات منظمة.

• دمج وتحليل الطوابع الزمنية المختلفة مثل MacB (Modified, Accessed, Created, Birth) وسجلات الأحداث.

• تتبع تسلسل أحداث الاختراق (Attack Lifecycle) بدءاً من الوصول الأولي حتى الاستمرارية وتشفير/استخراج البيانات.

• التعامل مع فارق التوقيت والتوقيت العالمي الموحد (UTC Normalization) لتفادي أخطاء التحليل.

محتوى الدرس:

في التحقيقات الجنائية المعقدة، لا يكفي فحص كل أثر رقمي بشكل منفصل. يتيح إنشاء الخط الزمني الموحد (Super Timeline) للمحقق مشاهدة الصورة الكاملة مرتبة زمنياً، مما يسهل اكتشاف السلوكيات المشبوهة التي قد تبدو طبيعية عند النظر إليها بشكل منفرد.

1. دور أداة mac_apt:

• أداة mac_apt هي أداة تحليل جنائي مخصصة لأنظمة macOS، تقوم باستخراج وتحليل عشرات الأدلة القادمة من قواعد بيانات SQLite وملفات Plist والسجلات.

• الأمر الأساسي لاستخراج الأدلة وإنشاء الخط الزمني: python3 mac_apt.py -o /path/to/output_dir -i /path/to/mac_image.dmg

• يُنتج الأمر قاعدة بيانات SQLite3 تحتوي على جداول منفصلة لكل أثر، بالإضافة إلى جدول خاص بالخط الزمني الموحد.

2. توحيد الطوابع الزمنية (UTC Normalization):

• تُسجل أنظمة macOS التواريخ بأنساق مختلفة مثل Mac Absolute Time (الثواني منذ 1 يناير 2001) و Unix Epoch (الثواني منذ 1 يناير 1970).

• تقوم أدوات التحليل بتحويل جميع هذه الأنساق إلى توقيت UTC لضمان تسلسل الأحداث بشكل صحيح دون تداخل.

3. تحليل تسلسل الأحداث:

• ربط عملية تحميل ملف مشبوه عبر Safari بظهور سمة com.apple.quarantine ثم تشغيل ملف LaunchDaemon ونشاط شبكي مفاجئ في الـ Unified Logs.

💬 هل واجهتك صعوبة في تطبيق الأوامر أو لديك استفسار إضافي؟ إذا واجهتك أي مشكلة أثناء تنفيذ الخطوات التطبيقية (مثل عدم معرفة المتغيرات الواجب استبدالها في الأوامر البرمجية)، يمكنك طرح سؤالك ومشاركة استفسارك في قسم التحقيق الجنائي الرقمي بمنتديات Digital Shield Lab ليقوم الفريق والمجتمع بمساعدتك خطوة بخطوة.