macOS Registry ve Log Analizi: Apple Sistemlerinde Yapılandırma ve Olay İnceleme Rehberi

Windows sistemlerdeki Registry kavramının birebir karşılığı macOS’te yoktur. Bunun yerine macOS, yapılandırma ve sistem davranışlarını Property List (plist) dosyaları ve gelişmiş bir log altyapısı (Unified Logging) üzerinden yönetir. Bu makalede macOS’te “registry benzeri” yapıların nasıl çalıştığı, hangi dosyaların incelendiği ve log analizinin adli bilişim açısından nasıl ele alınması gerektiği detaylı biçimde ele alınmaktadır.

macOS’te Registry Kavramı ve Karşılıkları
Property List (plist) Dosyaları

Plist dosyaları, uygulama ve sistem ayarlarını saklayan yapılandırma dosyalarıdır.

Bulundukları formatlar:

Yaygın dizinler:

Örnek bir plist dosyası:

Kullanıcı davranışları genellikle ~/Library/Preferences altında iz bırakır.

Plist Dosyalarının İncelenmesi
Plist’i Okunabilir Hale Getirme

Binary plist dosyaları doğrudan okunamaz. Bunun için plutil kullanılır.

1plutil -p com.apple.finder.plist

XML formatına dönüştürmek için:

1plutil -convert xml1 com.apple.finder.plist

Örnek: Son Açılan Klasörler (Finder)

Finder’ın son kullanılan klasörleri:

1com.apple.finder.plist
2FXRecentFolders

Bu veriler:

- Kullanıcının dosya erişim alışkanlıklarını
- Hangi dizinlerle çalıştığını

ortaya koyabilir.

LaunchAgents ve LaunchDaemons Analizi

macOS’te başlangıç servisleri ve kalıcı işlemler plist dosyaları ile tanımlanır.

Önemli dizinler:

Şüpheli Kalıcılık Kontrolü

1ls -la ~/Library/LaunchAgents

Şüpheli göstergeler:

- Rastgele isimlendirilmiş plist’ler
- Kullanıcı dizininde çalışan daemon’lar
- Bilinmeyen binary referansları

macOS Log Yapısı
Unified Logging Sistemi

macOS, klasik /var/log/syslog yaklaşımı yerine Unified Logging kullanır.

Özellikleri:

- Binary log formatı
- Merkezi log havuzu
- Performans ve güvenlik odaklı tasarım

Log Görüntüleme

Son 1 saatlik loglar:

1log show --last 1h

Belirli bir süreci filtrelemek:

1log show --predicate 'process == "Finder"' --last 30m

Örnek: USB Takılma Olayları

1log show --predicate 'eventMessage contains "USB"' --last 1d

Bu analiz:

- Harici cihaz bağlantılarını
- Veri sızıntısı şüphelerini

incelemek için kullanılır.

Klasik Log Dosyaları

Her ne kadar Unified Logging baskın olsa da bazı klasik loglar hâlâ mevcuttur.

Örnekler:

Kurulum Geçmişi

1cat /var/log/install.log

Bu log:

- Yüklenen yazılımlar
- Sistem güncellemeleri
- Paket yükleme zamanları

hakkında bilgi verir.

Adli Bilişimde Registry ve Log Analizi Senaryosu
Senaryo:

Bir macOS cihazda yetkisiz yazılım çalıştırıldığı şüphesi var.

İnceleme adımları:

1 - LaunchAgents dizinleri kontrol edilir
2 - Şüpheli plist’ler analiz edilir
3 - Unified Log üzerinden ilgili process aranır
4 - Install ve kullanıcı logları incelenir
5 - Zaman çizelgesi oluşturulur

İpuçları ve En İyi Uygulamalar

1 - Binary plist’leri mutlaka plutil ile dönüştürün
2 - Kullanıcı ve sistem plist’lerini ayrı değerlendirin
3 - Unified Log filtreleme (--predicate) öğrenilmeden analiz eksik kalır
4 - Log retention süresini göz önünde bulundurun
5 - Zaman damgalarını UTC / local farkıyla kontrol edin

Sınırlamalar ve Zorluklar

1 - Unified Log’un binary ve geçici yapısı
2 - SIP nedeniyle bazı loglara erişim kısıtlaması
3 - Apple Silicon sistemlerde ek güvenlik katmanları
4 - Registry benzeri yapıların dağınık olması

macOS’te registry analizi, plist dosyalarının ve servis yapılandırmalarının incelenmesi anlamına gelir. Log analizi ise büyük ölçüde Unified Logging sistemi üzerinden yürütülür. Doğru plist analizi, LaunchAgent incelemesi ve log filtreleme teknikleri bir araya geldiğinde, macOS sistemlerinde kullanıcı davranışları ve şüpheli aktiviteler yüksek doğrulukla tespit edilebilir.

#AdliBilişim  #kaynak