La buona notizia è che i principi fondamentali non cambiano rispetto a Windows. L'OOV è identico, la logica è la stessa. Quello che cambia sono i dettagli tecnici specifici di macOS.
Sequenza operativa su Mac (identica alla logica generale):
Differenza chiave rispetto a Windows: i cambiamenti più pronunciati riguardano le diverse versioni di macOS — ogni aggiornamento può cambiare nomi e percorsi dei file rilevanti, rendendo necessario conoscere la versione specifica del sistema analizzato.
A partire da macOS 11, il tool principale per acquisire la memoria è Surge Collect Pro. Il problema è che:
Conseguenza pratica: l'acquisizione della RAM su Mac moderni è possibile solo se il driver era già installato prima dell'incidente. Se non lo era, il riavvio necessario per installarlo distrugge il contenuto della RAM — esattamente ciò che si voleva preservare. È un compromesso inevitabile su macOS 11+.
I file forensicamente rilevanti su macOS sono sparsi in varie locazioni del file system, e i loro nomi e percorsi cambiano frequentemente al susseguirsi delle versioni di macOS.
Per questo motivo esistono tool dedicati che raccolgono automaticamente tutti i file di interesse, adattandosi alla versione del SO — evitando di dover cercare manualmente in percorsi che potrebbero essere cambiati.