Kryminalistyka informatyczna · macOS

Analiza kryminalistyczna baz danych SQLite w systemie macOS – wspólna ocena bazy danych, pliku WAL i pliku SHM

SQLite jest wykorzystywany przez wiele aplikacji systemu macOS oraz aplikacji innych producentów do lokalnego przechowywania danych. W zależności od trybu dziennika, oprócz głównej bazy danych, dla analizy kryminalistycznej istotne znaczenie mogą mieć w szczególności pliki dziennika zapisu z wyprzedzeniem (WAL) oraz pliki pamięci współdzielonej (SHM).

Wysyłaj zapytanie bez zobowiązań

Izolowana kopia zawierająca wyłącznie główną bazę danych może dać niekompletny obraz sytuacji. Dlatego należy zabezpieczyć powiązane pliki baz danych w sposób zapewniający ich wartość dowodową oraz uwzględnić ich wzajemne powiązania techniczne.

Dlaczego LanCologne?

Od momentu powstania firma LanCologne zajmuje się przede wszystkim profesjonalną kryminalistyką informatyczną. Nasi pracownicy posiadają wieloletnie doświadczenie w dziedzinie technologii informacyjnych i wspierają przedsiębiorstwa, prawników, osoby prywatne, a także regularnie sądy w technicznym wyjaśnianiu złożonych spraw związanych z technologiami cyfrowymi.

Badanie przeprowadza się zasadniczo wyłącznie na kopii kryminalistycznej, obrazie kryminalistycznym lub źródle danych zarejestrowanym w sposób technicznie równoważny i zapewniający bezpieczeństwo dowodowe. Oryginalny dowód pozostaje niezmieniony i jest przechowywany w sposób zapewniający bezpieczeństwo dowodowe.

Nasze usługi

Bazy danych SQLite analizujemy zasadniczo w kontekście istniejących plików towarzyszących. Dokumentujemy schemat, tabele, typy danych oraz istotne rekordy; zawartość pliku WAL jest uwzględniana w sposób profesjonalny, bez wprowadzania zmian w oryginalnej bazie danych poprzez jej niekontrolowane otwieranie.

Usunięte treści lub treści, do których nie ma już odnośników, są przedstawiane jako wyniki badania tylko wtedy, gdy można ustalić ich pochodzenie techniczne i integralność.

Typowe obszary zastosowań

•Analiza baz danych aplikacji i systemu
•Analiza plików WAL i SHM w SQLite
•Analiza kryminalistyczna komunikatorów i środków komunikacji
•Analiza danych dotyczących przeglądarki i korzystania z serwisu
•Rekonstrukcja historycznych zbiorów danych
•Weryfikacja znaczników czasu i powiązań
•Ekspertyzy sądowe i pozasądowe

Tak przebiega badanie kryminalistyczne

Po wykonaniu kopii zabezpieczającej w celu analizy kryminalistycznej główna baza danych, plik WAL, plik SHM oraz inne powiązane pliki są wspólnie inwentaryzowane i poddawane obliczeniom skrótu. Analiza przeprowadzana jest na kopiach roboczych.

Najpierw analizowany jest logiczny stan bazy danych. Następnie sprawdzane są pliki WAL oraz, w razie potrzeby, inne obszary danych pod kątem dodatkowych istotnych informacji. Zrekonstruowane rekordy danych są wyraźnie odróżniane od rekordów danych, które są regularnie aktywne.

Dlaczego ten obszar badań ma znaczenie kryminalistyczne?

SQLite jest jednym z najważniejszych źródeł danych we współczesnych aplikacjach dla systemu macOS. Zwłaszcza pliki WAL mogą zawierać transakcje, które w głównej bazie danych, rozpatrywanej w oderwaniu od pozostałych elementów, nie są jeszcze widoczne lub przestały być widoczne.

Z tego powodu kluczowe znaczenie z punktu widzenia kryminalistyki mają: kompletne gromadzenie danych, powtarzalna analiza oraz wyraźne rozróżnienie między aktywnym zbiorem danych a zrekonstruowanymi fragmentami.

Najczęściej zadawane pytania

Dlaczego pliki WAL są ważne?+
W trybie rejestrowania z wyprzedzeniem (Write-Ahead Logging) plik WAL może zawierać aktualne lub wcześniejsze informacje o transakcjach.
Czy można po prostu otworzyć oryginalną bazę danych SQLite?+
Nie. Badania kryminalistyczne przeprowadza się na zabezpieczonych kopiach roboczych, aby oryginał i pliki towarzyszące pozostały niezmienione.
Czy plik SHM zawsze ma znaczenie dowodowe?+
Jej znaczenie zależy od konkretnego stanu bazy danych; należy ona jednak do kontekstu operacyjnego WAL i nie należy jej pomijać podczas tworzenia kopii zapasowej.
Czy usunięte rekordy danych można odtworzyć?+
W odpowiednich przypadkach mogą występować treści dodatkowe lub takie, do których nie ma już standardowych odniesień. Ich pochodzenie i wiarygodność należy zweryfikować oddzielnie.

LanCologne – analiza kryminalistyczna systemu macOS w Kolonii

Potrzebujesz profesjonalnej analizy SQLite w systemie macOS? LanCologne pomoże Ci w wykonaniu zgodnego z wymogami sądowymi kopii zapasowej oraz przejrzystej analizie bazy danych, plików WAL i SHM.

Skontaktuj się z nami już teraz