IT forenzika · macOS

Forenzní analýza databází SQLite v systému macOS – společné vyhodnocení databáze, WAL a SHM

SQLite je využíván v mnoha aplikacích pro macOS i aplikacích třetích stran k lokálnímu ukládání dat. V závislosti na režimu deníku mohou být pro forenzní analýzu kromě hlavní databáze relevantní zejména soubory Write-Ahead-Log (WAL) a soubory sdílené paměti (SHM).

Nezávazná poptávka

Samostatná kopie pouze hlavní databáze může poskytnout neúplný obraz. Proto je nutné související databázové soubory zaznamenat způsobem zajišťujícím důkazní hodnotu a zohlednit jejich technickou souvislost.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Databáze SQLite analyzujeme vždy v kontextu existujících doprovodných souborů. Dokumentujeme schéma, tabulky, datové typy a relevantní datové záznamy; obsah souboru WAL je odborně zohledněn, aniž by došlo ke změně původní databáze v důsledku nekontrolovaného otevření.

Odstraněný obsah nebo obsah, na který již neexistují odkazy, se zobrazí jako nález pouze v případě, že lze dohledat jeho technický původ a integritu.

Typické oblasti použití

•Analýza databází aplikací a systémových databází
•Analýza souborů WAL a SHM v SQLite
•Forenzní analýza aplikací pro zasílání zpráv a komunikace
•Analýza údajů o prohlížeči a používání
•Rekonstrukce historických datových souborů
•Ověření časových razítek a vztahů
•Soudní a mimosoudní posudky

Takto probíhá forenzní vyšetřování

Po forenzním zálohování se hlavní databáze, WAL, SHM a další související soubory společně zaevidují a vygenerují se jejich hash hodnoty. Vyhodnocení se provádí na pracovních kopiích.

Nejprve se analyzuje logický stav databáze. Následně se WAL a případně další datové oblasti zkontrolují z hlediska dalších relevantních informací. Rekonstruované datové záznamy se jasně odlišují od běžně aktivních datových záznamů.

Proč je tato oblast vyšetřování relevantní z forenzního hlediska?

SQLite je jedním z nejdůležitějších zdrojů dat moderních aplikací pro macOS. Právě soubory WAL mohou obsahovat transakce, které v hlavní databázi, posuzované izolovaně, ještě nejsou nebo již nejsou viditelné.

Z forenzního hlediska jsou proto rozhodující úplné zaznamenání, reprodukovatelné vyhodnocení a jasné oddělení aktivního datového souboru od rekonstruovaných fragmentů.

Často kladené otázky

Proč jsou soubory WAL důležité?+
V režimu Write-Ahead Logging může soubor WAL obsahovat aktuální nebo dřívější informace o transakcích.
Má se originální databáze SQLite jednoduše otevřít?+
Ne. Forenzní vyšetřování se provádí na zabezpečených pracovních kopiích, aby originál a související soubory zůstaly nezměněny.
Má soubor SHM vždy důkazní hodnotu?+
Její význam závisí na konkrétním stavu databáze; patří však do provozního kontextu WAL a při zálohování by neměla být opomenuta.
Lze smazané záznamy obnovit?+
V některých případech mohou být k dispozici doplňkové informace nebo informace, na které již není uvedeno standardní odkazování. Jejich původ a spolehlivost je třeba ověřit samostatně.

🔗 Související témata

LanCologne – Forenzní analýza systému macOS v Kolíně nad Rýnem

Potřebujete profesionální analýzu SQLite v systému macOS? Společnost LanCologne vám pomůže s pořízením důkazně způsobilých záznamů a s transparentním vyhodnocením databáze, WAL a SHM.

Kontaktujte nás hned teď