L'analisi forense di macOS è la pratica di esaminare sistemi Apple Mac per raccogliere prove digitali. Gli analisti raccolgono e interpretano artefatti locali come database del browser, registri, cache, metadati e file utente per ricostruire l'attività su un dispositivo. Poiché macOS archivia molte tracce attraverso applicazioni e componenti di sistema, un singolo file raramente racconta l'intera storia.
Questo lavoro è importante nella sicurezza informatica perché gli aggressori spesso lasciano dietro di sé tracce sottili anche dopo aver eliminato i file visibili o cancellato la cronologia. Per esempio, i record di Safari su macOS possono contenere più di un elenco di URL, inclusi metadati aggiuntivi che aggiungono contesto all'attività di navigazione. I difensori usano questi artefatti nella risposta agli incidenti, nelle indagini sul malware, nelle revisioni delle minacce interne e nella conservazione delle prove. Una buona analisi forense di macOS dipende da un'acquisizione accurata, dalla catena di custodia e dalla correlazione tra più fonti, in modo che i record parziali diventino risultati affidabili.