Cellebrite Digital Collector
La collecte de données informatiques « live » et ciblées, sur Mac et sur Windows
Cellebrite Digital Collector trie, collecte et image les Mac et les PC Windows, éteints comme en fonctionnement, puces T2 et Apple Silicon comprises.
Description
Cellebrite présente Digital Collector comme la seule solution logicielle du marché capable d’effectuer l’acquisition « live » et « post-mortem » sur Mac comme sur Windows.
Digital Collector a été conçu pour que les enquêteurs procèdent à un triage et à une analyse rapide, sur le terrain ou en laboratoire.
Connu auparavant sous le nom de MacQuisition, l’outil a été développé par BlackBag Technologies pour l’examen des ordinateurs Apple. Édité aujourd’hui par Cellebrite, il couvre les ordinateurs Mac comme les ordinateurs Windows, du triage sur les lieux à l’image forensique.
Les images qu’il produit s’analysent dans Cellebrite Inspector, du même éditeur, avec les extractions mobiles de Cellebrite Inseyets. Cellebrite Pathfinder rassemble ensuite les données de plusieurs appareils et de plusieurs affaires.
Triage et collecte de données
Digital Collector couvre la chaîne de la collecte, du triage sur les lieux à l’acquisition, sur un poste éteint comme sur un poste en fonctionnement.
Triage des appareils
- Déterminer si des données pertinentes existent avant toute acquisition
- Rechercher des données sur les appareils grâce aux fonctions de recherche avancée
- Afficher un aperçu des images et des fichiers MS Office sur les ordinateurs Windows, et de tous les types de fichiers pris en charge sur les ordinateurs Mac
Collecte ciblée
- Procéder à des acquisitions sélectives d’e-mails, de conversations, de carnets d’adresses et d’autres données, par utilisateur et par volume
- Créer des images physiques déchiffrées des Mac à puce T2 et à puce Apple Silicon
- Authentifier les données collectées par une ou plusieurs des fonctions de hachage MD5, SHA-1 et SHA-256
Collecte sur système en fonctionnement
- Capturer la RAM et la mémoire volatile, et procéder à des collectes ciblées sans éteindre la machine
- Capturer en temps réel les données vivantes : fichiers multimédias, conversations et activité internet
- Enregistrer les collectes « live » sur un support de destination forensiquement sûr
- Enregistrer les collectes « live » des Mac et des PC Windows sur un partage réseau SMB, avec des identifiants de domaine
Imagerie et déchiffrement
- Prendre en charge les images de disques APFS Fusion
- Déchiffrer les volumes FileVault 2 si le mot de passe, le fichier du trousseau ou la clé de récupération sont fournis, puis monter le volume en lecture seule pour permettre soit un triage, soit une collecte de fichiers précis, soit l’imagerie
- Protéger les appareils source contre l’écriture tout en conservant un accès en lecture et en écriture sur les appareils de destination
Prise en charge des Mac et des formats
PUCES APPLE ET MACOS
Les Mac à puce T2 et à puce Apple Silicon : M1, M2, M3 et M4. Depuis la version 3.9, Digital Collector les amorce et y collecte jusqu’à macOS Tahoe 26, qu’ils soient déjà démarrés ou démarrés depuis le support Digital Collector.
AMORÇAGE DU POSTE SOURCE
Le Mac examiné démarre sur le support Digital Collector et travaille dans son environnement natif. C’est la méthode qui a fait MacQuisition, éprouvée sur des centaines de modèles de Macintosh.
CHIFFREMENT T2
La clé de chiffrement de la puce T2 est propre à chaque Mac et ne quitte jamais la puce. L’image physique déchiffrée se produit donc depuis la machine elle-même, bloc à bloc, et non au seul niveau des fichiers.
FORMAT D’IMAGE
L’image se produit au format AFF4 compressé, d’un seul tenant ou segmentée, avec ou sans les blocs non alloués.