IT-forensisch onderzoek · macOS

SQLite-, WAL- en SHM-artefacten handmatig valideren

Viele macOS-Anwendungen – Nachrichten, Safari, Fotos, Notizen – speichern ihre Daten in SQLite-Datenbanken. Neben der Hauptdatei existieren oft eine „-wal“- und eine „-shm“-Datei. Die WAL-Datei kann jüngere Änderungen und ältere Versionen von Datenbankseiten enthalten, die in der Hauptdatei noch nicht oder nicht mehr stehen.

Vrijblijvend informeren

Bij Apple-computers is dit punt bijzonder belangrijk, omdat de hardware- en beveiligingsarchitectuur de afgelopen jaren aanzienlijk is veranderd. Een oudere Intel-iMac, een Intel-Mac met T2 Security Chip en een recente Mac Studio met Apple Silicon mogen niet volgens hetzelfde technische schema worden behandeld. APFS, Secure Enclave, FileVault en de betreffende systeemstatus bepalen welke gegevens toegankelijk zijn en welke back-upmethode de minste wijzigingen veroorzaakt.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Technische achtergrond

Im Write-Ahead-Logging werden Änderungen zunächst in die WAL geschrieben und später per Checkpoint in die Hauptdatei übernommen. Wer die Datenbank mit Standardwerkzeugen öffnet, kann einen Checkpoint auslösen und die WAL verändern. Unterschiedliche Parser behandeln WAL-Frames unterschiedlich; dadurch können Datensätze fehlen, doppelt erscheinen oder einem falschen Zeitpunkt zugeordnet werden.

Relevante Spuren und Datenquellen

  • Hauptdatenbank, -wal und -shm als Einheit gesichert
  • WAL-Frames mit Salt-Werten und Commit-Markierungen
  • Freelist-Seiten und nicht zugewiesener Bereich (gelöschte Datensätze)
  • Tabellenschema und Zeitstempelformate (z. B. Mac Absolute Time)

Waarom LanCologne?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

Zo gaan we te werk

  • Sicherung der Dateien als Gruppe, Auswertung nur an Kopien.
  • Parserergebnis mit Seiten- und Frame-Ebene abgleichen.
  • Dokumentation, aus welcher Quelle (Hauptdatei, WAL-Frame, freier Bereich) ein Datensatz stammt.

Grenzen

  • Nach erfolgtem Checkpoint und Überschreiben sind ältere Stände nicht mehr vorhanden.
  • Die Zuordnung eines WAL-Frames zu einem exakten Zeitpunkt ist nicht immer möglich.

Mogelijke resultaten

  • Validierte Datensätze mit Herkunftsangabe
  • Hinweise auf gelöschte oder geänderte Einträge

Typische toepassingsgebieden

•Gerechtelijke en buitengerechtelijke deskundigenrapporten
•Bewijsverzameling van iMac, Mac mini, Mac Studio, MacBook en Mac Pro
•Onderzoek naar Apple Silicon-, T2- en oudere Intel-systemen
•Incidentrespons en malware-onderzoek
•Analyse van APFS-, gebruikers-, applicatie- en systeemartefacten
•Reconstructie van bestands-, gebruikers- en netwerkactiviteiten
•Controle van de resultaten van automatische parsers
•Analyse van verwijderde, historische of slechts indirect zichtbare sporen
•Documentatie voor rechtbanken, advocaten, bedrijven en overheidsinstanties

Waarom is dit onderzoeksgebied forensisch relevant?

Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten.

De forensische waarde ligt niet alleen in de hoeveelheid gevonden gegevens, maar ook in de herkomst en de betrouwbaarheid ervan. Een bestandsnaam, een tijdstempel of een database-vermelding kan zonder context misleidend zijn. Daarom documenteren we hoe een artefact tot stand kan zijn gekomen, welke alternatieve verklaringen er zijn en welke andere sporen de bevinding ondersteunen.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Vooral op moderne Macs kan een poging tot een „klassieke“ schijfanalyse bovendien stranden op technische beperkingen. Hardwaregebonden versleuteling, Secure Enclave, FileVault en APFS maken duidelijk waarom een vakkundige back-up vóór de eigenlijke analyse zo belangrijk is. Fouten in deze fase kunnen later niet altijd ongedaan worden gemaakt.

Veelgestelde vragen

Was ist bei „SQLite-, WAL- und SHM-Artefakte manuell validieren“ forensisch zu beachten?
Ons onderzoek begint niet met het opstarten van een analyseprogramma, maar met het verzamelen van bewijsmateriaal. Het apparaat, het model, het serienummer of inventarisnummer, de aansluitstatus, de zichtbare systeemstatus en de aanwezige randapparatuur worden gedocumenteerd. Vervolgens wordt besloten of het systeem uitgeschakeld moet blijven, of een live-registratie zinvol is of dat een recovery-, target-disk- of share-disk-procedure technisch verantwoord is. In de volgende stap wordt de back-upstrategie vastgesteld. Daarbij maken we onderscheid tussen blokgeoriënteerde weergave, logische back-up en gerichte triage. De keuze hangt niet af van gemak, maar van de hardwaregeneratie, FileVault, APFS-structuur, de beschikbare ontgrendelingsstatus en de concrete bewijskwestie. Waar technisch mogelijk, wordt er in schrijfbeveiligde modus gewerkt. Onvermijdelijke statuswijzigingen bij live- of herstelmaatregelen worden uitdrukkelijk vastgelegd. De gemaakte back-up wordt gedocumenteerd met hashwaarden. De daadwerkelijke analyse vindt niet plaats op het origineel, maar op een werkkopie of een geverifieerde bewijskopie. Zo kunnen parsers, zoekopdrachten of eigen hulpprogramma’s worden ingezet zonder het originele bewijsmateriaal voortdurend te wijzigen. In complexe gevallen werken we bewust niet met één enkel softwarepakket. RECON LAB of RECON ITR, Belkasoft X en X-Ways bieden verschillende invalshoeken op hetzelfde bewijsmateriaal. Wanneer een relevant artefact niet volledig door standaardparsers wordt gedekt, vullen we het onderzoek aan met zelfontwikkelde hulpprogramma’s en scripts. De koppeling met de ruwe gegevens blijft daarbij altijd cruciaal: een zelfontwikkelde parser is forensisch gezien alleen zinvol als het resultaat reproduceerbaar en technisch controleerbaar is. Voor een lezer die niet uit het vakgebied komt, is één punt daarbij bijzonder belangrijk: een forensisch programma „vindt“ niet automatisch de waarheid. Het leest gegevensstructuren en interpreteert deze volgens bekende regels. Als Apple met een nieuwe macOS-versie een database of een metagegevensformaat wijzigt, kan een parser onvolledig of onjuist reageren. Daarom controleren we bij cruciale bevindingen uit welk bestand, welke database of welke bestandssysteemstructuur het resultaat afkomstig is en of een tweede technische methode dezelfde bevindingen bevestigt. Dat is ook de reden waarom we meerdere tools inzetten. RECON LAB kan Apple-specifieke structuren native onder macOS analyseren; Belkasoft X biedt een ander perspectief op artefacten en correlaties; X-Ways maakt zeer gedetailleerde bestandssysteem- en ruwe-gegevenscontroles mogelijk. Als onafhankelijke analyses overeenkomen, verhoogt dat de betrouwbaarheid. Als ze niet overeenkomen, wordt de oorzaak onderzocht en wordt niet zomaar de meest voor de hand liggende bevinding gekozen.
Hoe verloopt zo’n forensisch onderzoek in de praktijk?
1 Verzameling van bewijsmateriaal en vastlegging van de toestand Het Apple-apparaat wordt eerst eenduidig geïdentificeerd en fotografisch of schriftelijk gedocumenteerd. We leggen vast of het apparaat is in- of uitgeschakeld, aangemeld, vergrendeld of aangesloten op externe gegevensdragers. Deze informatie kan later van doorslaggevend belang zijn. 2 Technische classificatie De chipgeneratie, macOS-versie, APFS-structuur, FileVault en relevante beveiligingsmechanismen worden vastgesteld. Pas op basis daarvan kan de geschikte registratiemethode worden bepaald. 3 Bewijsveilige back-up De back-upmethode wordt zo gekozen dat er zo min mogelijk aan het origineel wordt gewijzigd. RECON ITR kan, afhankelijk van het geval, worden ingezet voor imaging of triage van moderne Macs. Andere situaties vereisen Apple Recovery, Target Disk Mode bij Intel of Share Disk bij Apple Silicon. Elke stap wordt gelogd. 4 Integriteitscontrole Gemaakte images of logische back-ups krijgen een unieke naam, worden voorzien van hashwaarden en geverifieerd. Analyse en zoekopdrachten vinden vervolgens plaats op werkkopieën. 5 Meerfasige evaluatie RECON LAB, Belkasoft X en X-Ways worden afhankelijk van de vraagstelling gecombineerd. Een belangrijk resultaat wordt zo mogelijk niet alleen uit één enkele parserweergave overgenomen. 6 Handmatige validatie Als een artefact bijzonder relevant is als bewijs, ongebruikelijk is of slechts gedeeltelijk door standaardsoftware wordt ondersteund, controleren we ruwe gegevens, databasestructuren, metagegevens of bestandssysteeminformatie handmatig. Indien nodig worden eigen tools ingezet. 7 Rapport en bewijsverwijzing Uiteindelijk wordt niet alleen opgesomd wat een tool heeft weergegeven. We leggen uit welke technische bron de bevinding ondersteunt, welke conclusie gerechtvaardigd is en waar de grenzen liggen.
Welke forensische waarde hebben de resultaten op dit gebied?
Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten. Der forensische Wert liegt nicht allein in der Menge gefundener Daten, sondern in deren Herkunft und Belastbarkeit. Ein Dateiname, ein Zeitstempel oder ein Datenbankeintrag kann ohne Kontext missverständlich sein. Deshalb dokumentieren wir, wie ein Artefakt entstanden sein kann, welche Alternativerklärungen bestehen und welche weiteren Spuren den Befund stützen. Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft. Gerade auf modernen Macs kann außerdem der Versuch einer „klassischen“ Datenträgeranalyse an technischen Grenzen scheitern. Hardwaregebundene Verschlüsselung, Secure Enclave, FileVault und APFS machen deutlich, warum eine fachgerechte Sicherung vor der eigentlichen Analyse so wichtig ist. Fehler in dieser Phase können später nicht immer rückgängig gemacht werden.
Worden bij een dergelijk onderzoek vermoedens als vaststaande bevindingen gepresenteerd?
Nee. De resultaten van technische onderzoeken worden alleen weergegeven voor zover ze worden gestaafd door de daadwerkelijk vastgelegde gegevens. Aannames die niet kunnen worden gestaafd, worden niet als vaststaande bevindingen geformuleerd.
Warum darf man die Datenbank nicht einfach öffnen?
Weil das Öffnen einen Checkpoint auslösen und die WAL-Datei verändern kann.
Findet man in der WAL gelöschte Nachrichten?
Manchmal, wenn ältere Seitenversionen noch nicht überschrieben sind.
Gilt das nur für macOS?
Nein, auch iOS, Android und Windows-Anwendungen nutzen SQLite mit WAL.

Gerelateerde onderwerpen

LanCologne – macOS-forensisch onderzoek in Keulen

Sie benötigen eine professionelle Untersuchung zu „SQLite-, WAL- und SHM-Artefakte manuell validieren“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.

Nu contact opnemen