IT forenzika · macOS

Ruční ověření artefaktů SQLite, WAL a SHM

Viele macOS-Anwendungen – Nachrichten, Safari, Fotos, Notizen – speichern ihre Daten in SQLite-Datenbanken. Neben der Hauptdatei existieren oft eine „-wal“- und eine „-shm“-Datei. Die WAL-Datei kann jüngere Änderungen und ältere Versionen von Datenbankseiten enthalten, die in der Hauptdatei noch nicht oder nicht mehr stehen.

Nezávazná poptávka

U počítačů Apple je tento bod obzvláště důležitý, protože se hardwarová a bezpečnostní architektura v posledních letech výrazně změnila. Starší iMac s procesorem Intel, Mac s procesorem Intel a čipem T2 Security Chip a aktuální Mac Studio s čipem Apple Silicon nelze posuzovat podle stejného technického schématu. Systémy APFS, Secure Enclave, FileVault a příslušný stav systému určují, která data jsou přístupná a která metoda zálohování způsobí co nejméně změn.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Technischer Hintergrund

Im Write-Ahead-Logging werden Änderungen zunächst in die WAL geschrieben und später per Checkpoint in die Hauptdatei übernommen. Wer die Datenbank mit Standardwerkzeugen öffnet, kann einen Checkpoint auslösen und die WAL verändern. Unterschiedliche Parser behandeln WAL-Frames unterschiedlich; dadurch können Datensätze fehlen, doppelt erscheinen oder einem falschen Zeitpunkt zugeordnet werden.

Relevante Spuren und Datenquellen

  • Hauptdatenbank, -wal und -shm als Einheit gesichert
  • WAL-Frames mit Salt-Werten und Commit-Markierungen
  • Freelist-Seiten und nicht zugewiesener Bereich (gelöschte Datensätze)
  • Tabellenschema und Zeitstempelformate (z. B. Mac Absolute Time)

Proč LanCologne?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

So gehen wir vor

  • Sicherung der Dateien als Gruppe, Auswertung nur an Kopien.
  • Parserergebnis mit Seiten- und Frame-Ebene abgleichen.
  • Dokumentation, aus welcher Quelle (Hauptdatei, WAL-Frame, freier Bereich) ein Datensatz stammt.

Grenzen

  • Nach erfolgtem Checkpoint und Überschreiben sind ältere Stände nicht mehr vorhanden.
  • Die Zuordnung eines WAL-Frames zu einem exakten Zeitpunkt ist nicht immer möglich.

Mögliche Ergebnisse

  • Validierte Datensätze mit Herkunftsangabe
  • Hinweise auf gelöschte oder geänderte Einträge

Typické oblasti použití

•Soudní a mimosoudní posudky
•Zajištění důkazů z počítačů iMac, Mac mini, Mac Studio, MacBook a Mac Pro
•Analýza systémů Apple Silicon, T2 a starších systémů s procesory Intel
•Reakce na incidenty a vyšetřování malwaru
•Analýza artefaktů APFS, uživatelů, aplikací a systému
•Rekonstrukce aktivit souvisejících se soubory, uživateli a sítí
•Kontrola výsledků automatického parsování
•Analýza smazaných, historických nebo pouze nepřímo viditelných stop
•Dokumentace pro soudy, advokáty, podniky a úřady

Proč je tato oblast vyšetřování relevantní z forenzního hlediska?

Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten.

Forenzní hodnota nespočívá pouze v množství nalezených dat, ale v jejich původu a spolehlivosti. Název souboru, časové razítko nebo záznam v databázi mohou být bez kontextu matoucí. Proto dokumentujeme, jak mohl artefakt vzniknout, jaká existují alternativní vysvětlení a jaké další stopy tento nález podporují.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Zejména u moderních počítačů Mac může navíc pokus o „klasickou“ analýzu datového nosiče narazit na technické limity. Šifrování na úrovni hardwaru, Secure Enclave, FileVault a APFS jasně ukazují, proč je tak důležité provést odborné zálohování ještě před samotnou analýzou. Chyby v této fázi nelze později vždy napravit.

Často kladené otázky

Was ist bei „SQLite-, WAL- und SHM-Artefakte manuell validieren“ forensisch zu beachten?
Naše vyšetřování nezačíná spuštěním analytického programu, ale sběrem důkazů. Zaznamenáváme zařízení, model, sériové číslo nebo inventární číslo, stav připojení, viditelný stav systému a přítomná periferní zařízení. Poté se rozhodne, zda musí systém zůstat vypnutý, zda má smysl provést sběr dat za běhu systému, nebo zda je z odborného hlediska vhodné použít postup obnovy, cílového disku či sdíleného disku. V dalším kroku se stanoví strategie zálohování. Rozlišujeme přitom mezi blokově orientovaným zrcadlením, logickým zálohováním a cíleným tříděním. Volba nezávisí na pohodlí, ale na generaci hardwaru, FileVaultu, struktuře APFS, dostupném stavu odemknutí a konkrétní otázce týkající se důkazů. Tam, kde je to technicky možné, pracujeme v režimu jen pro čtení. Nevyhnutelné změny stavu při živých nebo obnovovacích opatřeních jsou výslovně zaznamenány. Vytvořená záloha je zdokumentována pomocí hash hodnot. Samotná analýza se neprovádí na originálu, ale na pracovní kopii nebo ověřeném důkazním obrazu. Tak lze používat parsery, vyhledávací procesy nebo vlastní pomocné programy, aniž by se průběžně měnil původní důkazní materiál. V komplexních případech záměrně nepracujeme s jediným softwarem. RECON LAB, resp. RECON ITR, Belkasoft X a X-Ways poskytují různé úhly pohledu na stejný soubor důkazů. Pokud standardní parsery nedokážou relevantní artefakt zcela pokrýt, doplňujeme vyšetřování pomocí vlastních pomocných programů a skriptů. Rozhodující je přitom vždy zpětná vazba na surová data: vlastnoručně vyvinutý parser má z forenzního hlediska smysl pouze tehdy, je-li jeho výsledek reprodukovatelný a technicky ověřitelný. Pro čtenáře, který není odborníkem v dané oblasti, je přitom obzvláště důležitý jeden bod: forenzní program automaticky „nenachází“ pravdu. Čte datové struktury a interpretuje je podle známých pravidel. Pokud Apple v nové verzi macOS změní databázi nebo formát metadat, může parser reagovat neúplně nebo nesprávně. Proto u klíčových zjištění ověřujeme, z jakého souboru, databáze nebo struktury souborového systému výsledek pochází a zda stejný fakt potvrzuje i druhý technický postup. To je také důvod, proč používáme více nástrojů. RECON LAB dokáže nativně vyhodnocovat struktury specifické pro Apple v systému macOS; Belkasoft X nabízí odlišný pohled na artefakty a korelace; X-Ways umožňuje velmi podrobné kontroly souborového systému a surových dat. Pokud se nezávislé analýzy shodují, zvyšuje to spolehlivost. Pokud se neshodují, je příčina prošetřena a není jednoduše vybrán nejpohodlnější výsledek.
Jak takové forenzní vyšetřování probíhá v praxi?
1 Zajištění důkazů a dokumentace stavu Zařízení Apple je nejprve jednoznačně identifikováno a zdokumentováno fotograficky nebo písemně. Zaznamenáme, zda je zařízení zapnuté či vypnuté, přihlášeno, uzamčeno nebo připojeno k externím datovým nosičům. Tyto informace mohou být později rozhodující. 2 Technická klasifikace Určí se generace čipu, verze macOS, struktura APFS, FileVault a relevantní bezpečnostní mechanismy. Teprve na základě toho lze určit vhodnou metodu sběru dat. 3 Zabezpečené zálohování Zálohování se volí tak, aby se na originálu změnilo co nejméně. RECON ITR lze v závislosti na případu použít pro imaging nebo triáž moderních počítačů Mac. Jiné situace vyžadují Apple Recovery, Target Disk Mode u procesorů Intel nebo Share Disk u Apple Silicon. Každý krok je zaznamenán do protokolu. 4 Kontrola integrity Vytvořené obrazy nebo logické zálohy jsou jednoznačně pojmenovány, opatřeny hash hodnotami a ověřeny. Analýza a vyhledávání se následně provádějí na pracovních kopiích. 5 Víceúrovňové vyhodnocení: RECON LAB, Belkasoft X a X-Ways se kombinují podle konkrétního zadání. Důležitý výsledek se pokud možno nepřevzímá pouze z jediného zobrazení parseru. 6 Ruční ověření Pokud je nějaký artefakt obzvláště důkazně relevantní, neobvyklý nebo standardním softwarem podporován pouze částečně, ručně prověřujeme surová data, struktury databází, metadata nebo informace o souborovém systému. V případě potřeby využíváme vlastní nástroje. 7 Zpráva a vztah k důkazům Na závěr neuvádíme pouze seznam toho, co nástroj zobrazil. Vysvětlujeme, z jakého technického zdroje nález vychází, jaký závěr je přípustný a kde jsou jeho meze.
Jakou forenzní vypovídací hodnotu mají výsledky v této oblasti?
Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten. Der forensische Wert liegt nicht allein in der Menge gefundener Daten, sondern in deren Herkunft und Belastbarkeit. Ein Dateiname, ein Zeitstempel oder ein Datenbankeintrag kann ohne Kontext missverständlich sein. Deshalb dokumentieren wir, wie ein Artefakt entstanden sein kann, welche Alternativerklärungen bestehen und welche weiteren Spuren den Befund stützen. Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft. Gerade auf modernen Macs kann außerdem der Versuch einer „klassischen“ Datenträgeranalyse an technischen Grenzen scheitern. Hardwaregebundene Verschlüsselung, Secure Enclave, FileVault und APFS machen deutlich, warum eine fachgerechte Sicherung vor der eigentlichen Analyse so wichtig ist. Fehler in dieser Phase können später nicht immer rückgängig gemacht werden.
Jsou při takovém vyšetření domněnky prezentovány jako ověřené nálezy?
Ne. Výsledky technických vyšetření jsou uváděny pouze v rozsahu, v jakém je podloží skutečně ověřenými údaji. Nepodložené domněnky nejsou formulovány jako ověřené nálezy.
Warum darf man die Datenbank nicht einfach öffnen?
Weil das Öffnen einen Checkpoint auslösen und die WAL-Datei verändern kann.
Findet man in der WAL gelöschte Nachrichten?
Manchmal, wenn ältere Seitenversionen noch nicht überschrieben sind.
Gilt das nur für macOS?
Nein, auch iOS, Android und Windows-Anwendungen nutzen SQLite mit WAL.

Weiterführende Themen

LanCologne – Forenzní analýza systému macOS v Kolíně nad Rýnem

Sie benötigen eine professionelle Untersuchung zu „SQLite-, WAL- und SHM-Artefakte manuell validieren“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.

Kontaktujte nás hned teď