Informatica forense · macOS

Analisi forense dei database SQLite su macOS – Valutazione congiunta di database, WAL e SHM

SQLite viene utilizzato da numerose applicazioni macOS e di terze parti per l'archiviazione locale dei dati. A seconda della modalità di journaling, oltre al database principale, possono risultare rilevanti ai fini di un'analisi forense in particolare i file di log di scrittura anticipata (WAL) e i file di memoria condivisa (SHM).

Richiesta non vincolante

Una copia isolata del solo database principale può fornire un quadro incompleto. Per questo motivo, i file del database correlati devono essere acquisiti in modo da garantire la loro validità probatoria e occorre tenere conto della loro relazione tecnica.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata, di norma, esclusivamente su una copia forense, su un'immagine forense o su una fonte di dati acquisita in modo tecnicamente equivalente e a prova di manomissione. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne l'integrità probatoria.

I nostri servizi

Analizziamo i database SQLite sempre nel contesto dei file di supporto esistenti. Vengono documentati lo schema, le tabelle, i tipi di dati e i record rilevanti; i contenuti del WAL vengono presi in considerazione in modo adeguato, senza modificare il database originale mediante aperture incontrollate.

I contenuti cancellati o non più referenziati vengono riportati come risultati solo se è possibile verificarne la provenienza tecnica e l'integrità.

Campi di applicazione tipici

•Analisi dei database delle app e di sistema
•Analisi dei file WAL e SHM di SQLite
•Analisi forense delle app di messaggistica e delle comunicazioni
•Analisi dei dati relativi al browser e all'utilizzo
•Ricostruzione di serie storiche
•Convalida dei timestamp e delle relazioni
•Perizie giudiziarie ed extragiudiziarie

Ecco come si svolge l'analisi forense

Dopo il backup forense, il database principale, il WAL, l’SHM e altri file correlati vengono inventariati e sottoposti a hash in modo congiunto. L’analisi viene effettuata su copie di lavoro.

In primo luogo viene analizzato lo stato logico del database. Successivamente, il WAL e, se del caso, altre aree di dati vengono esaminati alla ricerca di ulteriori informazioni rilevanti. I record ricostruiti vengono chiaramente distinti dai record normalmente attivi.

Perché questo ambito di indagine è rilevante dal punto di vista forense?

SQLite è una delle principali fonti di dati delle moderne applicazioni macOS. In particolare, i file WAL possono contenere transazioni che, se considerate isolatamente, non sono ancora o non sono più visibili nel database principale.

Dal punto di vista forense, sono quindi fondamentali la raccolta completa dei dati, un’analisi riproducibile e una chiara separazione tra il corpus di dati attivo e i frammenti ricostruiti.

Domande frequenti

Perché i file WAL sono importanti?+
Nella modalità Write-Ahead Logging, il file WAL può contenere informazioni relative a transazioni attuali o precedenti.
È consigliabile aprire semplicemente un database SQLite originale?+
No. Le analisi forensi vengono effettuate su copie di lavoro protette, in modo che l'originale e i file associati rimangano inalterati.
Un file SHM è sempre rilevante ai fini probatori?+
Il suo significato dipende dallo stato specifico del database; tuttavia, fa parte del contesto operativo WAL e non dovrebbe essere ignorato durante il backup.
È possibile recuperare i record cancellati?+
In alcuni casi specifici potrebbero essere presenti contenuti aggiuntivi o non più citati regolarmente. La loro provenienza e attendibilità devono essere verificate separatamente.

🔗 Argomenti correlati

LanCologne – Analisi forense di macOS a Colonia

Avete bisogno di un'analisi professionale di SQLite su macOS? LanCologne vi assiste nell'acquisizione di prove a prova di tribunale e nell'analisi tracciabile di database, WAL e SHM.

Contattaci subito