RECON ITR

RECON ITR est conçu pour les enquêteurs débutants comme pour les enquêteurs confirmés. Il se prend en main en quelques minutes, rend ses premières réponses en quelques secondes et n’impose pas de limite aux options de rapport.

Les solutions forensiques RECON sont développées nativement sur macOS, en Swift et sur les bibliothèques d’Apple, pour acquérir et trier un Mac dans son propre environnement. Là où un outil porté depuis Windows ou Linux interprète les métadonnées d’Apple par rétro-ingénierie, RECON ITR les lit comme le système lui-même.

RECON ITR effectue le triage et l’analyse dans le même outil. La collecte et l’analyse ne demandent donc pas deux outils achetés séparément.

La collecte et l’imagerie peuvent se limiter aux fichiers utiles, artefacts de macOS et des sauvegardes iOS compris. RECON ITR est conçu pour obtenir le maximum de données en un minimum de temps.

RECON ITR est livré avec PALADIN PRO, sans supplément, pour couvrir l’imagerie et le tri sur macOS, Windows et Linux.

Pour l’analyse approfondie, SUMURI propose RECON LAB, sa suite d’analyse forensique, développée elle aussi nativement sur macOS.

RECON ITR lève l’incertitude sur l’outil à employer pour imager un Mac : il comprend à la fois des solutions d’acquisition après redémarrage et d’acquisition live pour imager tous les Mac Intel, tous les Mac à puce Apple Silicon et leurs systèmes de fichiers.

L’imagerie après redémarrage et l’imagerie live sont réunies dans une solution intégrée qui identifie, affiche et peut automatiquement créer des images des volumes et des disques FileVault, APFS et Core Storage, à un coût que SUMURI annonce bien inférieur à celui des autres outils.

RECON ITR image tous les Mac Intel avec ou sans puce de sécurité T2, et les Mac à puce Apple Silicon : M1 à M6, variantes Pro, Max et Ultra comprises, et le MacBook Neo.

Sur les Mac équipés d’une enclave sécurisée (puce T2 ou puce Apple Silicon), le disque interne ne peut pas être imagé physiquement : son chiffrement est matériel. RECON ITR acquiert alors le conteneur APFS bloc à bloc, ou le volume de données de manière logique.

Avec PALADIN PRO inclus, RECON ITR couvre trois environnements d’imagerie sous macOS, Windows et Linux : trois façons d’obtenir une image, sur plusieurs affaires, pour le prix d’un seul outil.

RECON ITR est livré avec des capacités de blocage d’écriture intégrées. L’imagerie et le tri se font dans les règles de l’art forensique sans solution supplémentaire à acquérir.

Dans l’environnement d’amorçage, un arbitre de disque intégré commande le montage des volumes et prend le pas sur le comportement par défaut de macOS ; il est disponible lors de l’imagerie des Mac Intel.

Sur toute machine, l’amorçage sur le support RECON ITR garantit que le volume de données interne n’est jamais monté en écriture par le système hôte.

RECON ITR détecte, analyse et trie automatiquement les sauvegardes iOS. Messages, historique de navigation web et bien d’autres traces se récupèrent en quelques secondes.

Le module de sauvegarde iOS recense les sauvegardes enregistrées sur le Mac examiné, s’appuie sur iLEAPP pour les analyser, et permet soit de les exporter, soit de les traiter directement dans une affaire de triage.

PALADIN PRO est livré avec chaque RECON ITR. Cet environnement amorçable fondé sur Linux réunit plus de cent cinquante outils forensiques libres derrière une interface unique, et couvre l’imagerie des ordinateurs Windows, des ordinateurs Linux et des Mac Intel antérieurs à la puce T2.

La boîte à outils PALADIN permet de trier, de rechercher et d’imager en quelques gestes, sans quitter l’environnement d’amorçage. Pour un Mac fabriqué avant 2017, c’est la voie que le fabricant recommande.