IT forenzika · macOS

Ručno provjerite artefakte SQLite, WAL i SHM

Viele macOS-Anwendungen – Nachrichten, Safari, Fotos, Notizen – speichern ihre Daten in SQLite-Datenbanken. Neben der Hauptdatei existieren oft eine „-wal“- und eine „-shm“-Datei. Die WAL-Datei kann jüngere Änderungen und ältere Versionen von Datenbankseiten enthalten, die in der Hauptdatei noch nicht oder nicht mehr stehen.

Upitajte bez obaveze

Ova je točka posebno važna za Apple računala, budući da su se njihova hardverska i sigurnosna arhitektura značajno promijenile posljednjih godina. Stariji iMac s Intelovim procesorom, Mac s Intelovim procesorom i T2 Security čipom te aktualni Mac Studio s Apple Siliconom ne mogu se tretirati istim tehničkim pristupom. APFS, Secure Enclave, FileVault i stanje sustava određuju koja je podatkovna baza dostupna i koja metoda izrade sigurnosne kopije uzrokuje najmanje prekida.

Automatski parseri mogu obrađivati sadržaj WAL-a na različite načine. Iz tog razloga se relevantni zapisi podataka provjeravaju izravno na stranicama baze podataka, u kontekstu transakcije i, gdje je potrebno, u pratećim datotekama.

Technischer Hintergrund

Im Write-Ahead-Logging werden Änderungen zunächst in die WAL geschrieben und später per Checkpoint in die Hauptdatei übernommen. Wer die Datenbank mit Standardwerkzeugen öffnet, kann einen Checkpoint auslösen und die WAL verändern. Unterschiedliche Parser behandeln WAL-Frames unterschiedlich; dadurch können Datensätze fehlen, doppelt erscheinen oder einem falschen Zeitpunkt zugeordnet werden.

Relevante Spuren und Datenquellen

  • Hauptdatenbank, -wal und -shm als Einheit gesichert
  • WAL-Frames mit Salt-Werten und Commit-Markierungen
  • Freelist-Seiten und nicht zugewiesener Bereich (gelöschte Datensätze)
  • Tabellenschema und Zeitstempelformate (z. B. Mac Absolute Time)

Zašto LanCologne?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

So gehen wir vor

  • Sicherung der Dateien als Gruppe, Auswertung nur an Kopien.
  • Parserergebnis mit Seiten- und Frame-Ebene abgleichen.
  • Dokumentation, aus welcher Quelle (Hauptdatei, WAL-Frame, freier Bereich) ein Datensatz stammt.

Grenzen

  • Nach erfolgtem Checkpoint und Überschreiben sind ältere Stände nicht mehr vorhanden.
  • Die Zuordnung eines WAL-Frames zu einem exakten Zeitpunkt ist nicht immer möglich.

Mögliche Ergebnisse

  • Validierte Datensätze mit Herkunftsangabe
  • Hinweise auf gelöschte oder geänderte Einträge

Tipična područja primjene

•Sudski i nerasudski vještački nalazi
•Očuvanje dokaza s iMaca, Mac minija, Mac Studija, MacBooka i Mac Proa
•Istraživanje Apple Silicon, T2 i starijih Intel sustava
•Odgovor na incidente i istrage zlonamjernog softvera
•Analiza artefakata APFS-a, korisnika, aplikacije i sustava
•Rekonstrukcija aktivnosti datoteke, korisnika i mreže
•Unakrsna provjera rezultata automatskih analizatora
•Analiza izbrisanih, povijesnih ili samo neizravno vidljivih tragova
•Dokumentacija za sudove, odvjetnike, poduzeća i javne vlasti

Zašto je ovo područje istraživanja relevantno za forenziku?

Mnoge macOS aplikacije pohranjuju informacije u SQLite. Temeljita istraga uzima u obzir ne samo glavnu bazu podataka nego i, ovisno o njezinom stanju, WAL i SHM datoteke, te razlikuje aktivne zapise od rekonstruiranih fragmenata.

Forenzička vrijednost ne leži samo u količini pronađenih podataka, nego i u njihovom podrijetlu i pouzdanosti. Naziv datoteke, vremenski žig ili unos u bazi podataka mogu biti zavaravajući bez konteksta. Zato dokumentiramo kako je artefakt mogao nastati, koja postoje alternativna objašnjenja i koji daljnji dokazi podupiru nalaz.

Automatski parseri mogu obrađivati sadržaj WAL-a na različite načine. Iz tog razloga se relevantni zapisi podataka provjeravaju izravno na stranicama baze podataka, u kontekstu transakcije i, gdje je potrebno, u pratećim datotekama.

Na modernim Mac računalima, pokušaji „tradicionalne“ analize podataka također mogu propasti zbog tehničkih ograničenja. Hardversko šifriranje, Secure Enclave, FileVault i APFS jasno ilustriraju zašto je toliko važno izvršiti pravilnu sigurnosnu kopiju prije nego što započne stvarna analiza. Greške napravljene u ovoj fazi ne mogu se uvijek naknadno poništiti.

Često postavljana pitanja

Koje forenzičke aspekte treba imati na umu pri ručnoj validaciji artefakata SQLite, WAL i SHM?
Naša istraga ne započinje pokretanjem programa za analizu, već prikupljanjem dokaza. Dokumentiraju se uređaj, model, serijski broj ili inventarski broj, status veze, vidljivi status sustava i postojeće periferne jedinice. Zatim se donosi odluka treba li sustav ostati isključen, je li preporučljivo snimanje uživo ili je tehnički opravdana procedura oporavka, ciljani disk ili dijeljeni disk. Sljedeći korak je definiranje strategije izrade sigurnosne kopije. Ovdje razlikujemo slikanje na razini blokova, logičke sigurnosne kopije i ciljanu trijažu. Izbor ne ovisi o praktičnosti, već o generaciji hardvera, FileVaultu, strukturi APFS-a, trenutačnom statusu otključavanja i konkretnom pitanju u vezi s dokazima. Gdje je to tehnički moguće, radimo u načinu rada samo za čitanje. Sve neizbježne promjene u stanju sustava koje proizlaze iz postupaka uživo ili oporavka izričito se bilježe. Napravljena sigurnosna kopija dokumentira se pomoću hash vrijednosti. Stvarna analiza ne provodi se na izvornom materijalu, već na radnoj kopiji ili provjerenoj forenzičkoj slici. To omogućuje korištenje parseri, operacija pretraživanja ili vlastitih korisničkih programa bez stalnog mijenjanja izvornog dokaza. U složenim slučajevima namjerno izbjegavamo oslanjanje na jedan softverski paket. RECON LAB, RECON ITR, Belkasoft X i X-Ways pružaju različite perspektive na isti skup dokaza. Ako relevantni artefakt nije u potpunosti pokriven standardnim parserima, istragu nadopunjujemo vlastitim razvijenim utilitima i skriptama. Ključni čimbenik uvijek je poveznica na sirove podatke: parser razvijen interno forenzički je valjan samo ako su njegovi rezultati reproducibilni i tehnički provjerljivi. Za čitatelja koji nije upoznat s temom, jedna je stvar posebno važna: forenzični program ne „pronalazi“ istinu automatski. On čita strukture podataka i tumači ih prema poznatim pravilima. Ako Apple promijeni bazu podataka ili format metapodataka s novom verzijom macOS-a, parser može odgovoriti nepotpuno ili netočno. Zato, kada se radi o ključnim nalazima, provjeravamo iz koje datoteke, baze podataka ili strukture datotečnog sustava potječe rezultat i potvrđuje li drugi tehnički pristup iste nalaze. To je također razlog zašto koristimo više alata. RECON LAB može nativno na macOS-u analizirati strukture specifične za Apple; Belkasoft X nudi drugačiju perspektivu na artefakte i korelacije; X-Ways omogućuje vrlo detaljne analize sustava datoteka i sirovih podataka. Ako se neovisne analize podudaraju, to povećava čvrstoću nalaza. Ako se ne podudaraju, uzrok se istražuje umjesto da se jednostavno odabere najprikladniji rezultat.
Kako takva forenzička istraga funkcionira u praksi?
1. Prikupljanje dokaza i dokumentiranje stanja uređaja Apple uređaj se prvo jedinstveno identificira i dokumentira fotografski ili pismeno. Bilježimo je li uređaj uključen ili isključen, prijavljen, zaključan ili povezan s vanjskim uređajima za pohranu. Ove informacije mogu se kasnije pokazati ključnima. 2 Tehnička procjena Utvrđuju se generacija čipa, verzija macOS-a, APFS struktura, FileVault i relevantni sigurnosni mehanizmi. Tek tada se može odrediti odgovarajuća metoda pribavljanja. 3. Sigurnosna kopija za očuvanje dokaza Metoda sigurnosnog kopiranja odabire se tako da se na izvornom uređaju promijeni što je manje moguće. Ovisno o slučaju, za izradu slika diska ili trijažu modernih Mac računala može se koristiti RECON ITR. Druge situacije zahtijevaju Apple Recovery, Target Disk Mode na sustavima temeljenim na Intel procesorima ili Share Disk na sustavima temeljenim na Apple Silicon procesorima. Svaki se korak bilježi. 4 Provjera integriteta: stvorene slike ili logičke sigurnosne kopije jedinstveno su imenovane, dodjeljuju im se hash vrijednosti i provjeravaju. Analiza i pretrage zatim se provode na radnim kopijama. 5 Višestupanjska evaluacija RECON LAB, Belkasoft X i X-Ways kombiniraju se ovisno o specifičnim zahtjevima. Kad god je to moguće, ključni nalaz ne temelji se isključivo na jednom prikazu parsera. 6 Ručna validacija Ako je artefakt posebno relevantan za dokaze, neobičan ili samo djelomično podržan standardnim softverom, ručno ispitujemo sirove podatke, strukture baza podataka, metapodatke ili informacije o sustavu datoteka. Po potrebi koristimo vlastite alate. 7 Izvješće i referenca dokaza Na kraju ne navodimo samo ono što je alat prikazao. Objašnjavamo koji tehnički izvor potkrepljuje nalaz, koji je zaključak dopušten i gdje su ograničenja.
Koja je forenzička važnost nalaza u ovom području?
Mnoge macOS aplikacije pohranjuju informacije u SQLite. Temeljita istraga uzima u obzir ne samo glavnu bazu podataka nego i, ovisno o njezinom stanju, WAL i SHM datoteke te razlikuje aktivne zapise od rekonstruiranih fragmenata. Forenzička vrijednost ne leži samo u količini pronađenih podataka, nego i u njihovom podrijetlu i pouzdanosti. Naziv datoteke, vremenski žig ili unos u bazi podataka mogu biti zavaravajući bez konteksta. Zato dokumentiramo kako je artefakt mogao nastati, koja postoje alternativna objašnjenja i koji daljnji dokazi podupiru nalaze. Automatski parseri mogu različito obrađivati sadržaj WAL-a. Stoga se, gdje je to potrebno, relevantni zapisi podataka provjeravaju izravno na stranicama baze podataka, kontekstu transakcije i povezanim datotekama. Posebno na modernim Mac računalima, pokušaji „tradicionalne“ analize diska također mogu ne uspjeti zbog tehničkih ograničenja. Hardversko šifriranje, Secure Enclave, FileVault i APFS naglašavaju zašto je profesionalna sigurnosna kopija toliko važna prije početka same analize. Pogreške napravljene u ovoj fazi ne mogu se uvijek naknadno poništiti.
Predpostavke li se u takvoj istrazi predstavljaju kao potvrđeni nalazi?
Ne. Rezultati tehničkih istraga predstavljeni su samo u onoj mjeri u kojoj su potkrijepljeni stvarno zabilježenim podacima. Pretpostavke koje se ne mogu potkrijepiti ne predstavljaju se kao potvrđeni nalazi.
Warum darf man die Datenbank nicht einfach öffnen?
Weil das Öffnen einen Checkpoint auslösen und die WAL-Datei verändern kann.
Findet man in der WAL gelöschte Nachrichten?
Manchmal, wenn ältere Seitenversionen noch nicht überschrieben sind.
Gilt das nur für macOS?
Nein, auch iOS, Android und Windows-Anwendungen nutzen SQLite mit WAL.

Weiterführende Themen

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu istragu „ručne validacije SQLite, WAL i SHM artefakata“? LanCologne vam pomaže u izvođenju sigurnosnih kopija zaštićenih dokazima, višestupanjske analize i dokumentacije s mogućnošću praćenja. Ključ ovdje nije generirati što više automatiziranih nalaza, nego osigurati tehnički ispravne i provjerljive dokaze.

Kontaktirajte nas odmah