Kryminalistyka informatyczna · macOS

Ręczna weryfikacja artefaktów SQLite, WAL i SHM

Viele macOS-Anwendungen – Nachrichten, Safari, Fotos, Notizen – speichern ihre Daten in SQLite-Datenbanken. Neben der Hauptdatei existieren oft eine „-wal“- und eine „-shm“-Datei. Die WAL-Datei kann jüngere Änderungen und ältere Versionen von Datenbankseiten enthalten, die in der Hauptdatei noch nicht oder nicht mehr stehen.

Wysyłaj zapytanie bez zobowiązań

W przypadku komputerów Apple kwestia ta ma szczególne znaczenie, ponieważ w ostatnich latach architektura sprzętowa i zabezpieczeń uległa znacznym zmianom. Starszy model iMaca z procesorem Intel, komputer Mac z procesorem Intel i chipem bezpieczeństwa T2 oraz najnowszy model Mac Studio z procesorem Apple Silicon nie mogą być traktowane według tego samego schematu technicznego. Systemy APFS, Secure Enclave, FileVault oraz aktualny stan systemu decydują o tym, które dane są dostępne i która metoda tworzenia kopii zapasowej powoduje najmniejsze zmiany.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Technischer Hintergrund

Im Write-Ahead-Logging werden Änderungen zunächst in die WAL geschrieben und später per Checkpoint in die Hauptdatei übernommen. Wer die Datenbank mit Standardwerkzeugen öffnet, kann einen Checkpoint auslösen und die WAL verändern. Unterschiedliche Parser behandeln WAL-Frames unterschiedlich; dadurch können Datensätze fehlen, doppelt erscheinen oder einem falschen Zeitpunkt zugeordnet werden.

Relevante Spuren und Datenquellen

  • Hauptdatenbank, -wal und -shm als Einheit gesichert
  • WAL-Frames mit Salt-Werten und Commit-Markierungen
  • Freelist-Seiten und nicht zugewiesener Bereich (gelöschte Datensätze)
  • Tabellenschema und Zeitstempelformate (z. B. Mac Absolute Time)

Dlaczego LanCologne?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

So gehen wir vor

  • Sicherung der Dateien als Gruppe, Auswertung nur an Kopien.
  • Parserergebnis mit Seiten- und Frame-Ebene abgleichen.
  • Dokumentation, aus welcher Quelle (Hauptdatei, WAL-Frame, freier Bereich) ein Datensatz stammt.

Grenzen

  • Nach erfolgtem Checkpoint und Überschreiben sind ältere Stände nicht mehr vorhanden.
  • Die Zuordnung eines WAL-Frames zu einem exakten Zeitpunkt ist nicht immer möglich.

Mögliche Ergebnisse

  • Validierte Datensätze mit Herkunftsangabe
  • Hinweise auf gelöschte oder geänderte Einträge

Typowe obszary zastosowań

•Ekspertyzy sądowe i pozasądowe
•Zabezpieczanie dowodów z komputerów iMac, Mac mini, Mac Studio, MacBook i Mac Pro
•Analiza systemów z procesorami Apple Silicon, T2 oraz starszych systemów z procesorami Intel
•Reagowanie na incydenty i analiza złośliwego oprogramowania
•Analiza artefaktów APFS, użytkowników, aplikacji i systemu
•Rekonstrukcja działań związanych z plikami, użytkownikami i siecią
•Weryfikacja wyników automatycznej analizy składniowej
•Analiza usuniętych, historycznych lub widocznych jedynie pośrednio śladów
•Dokumentacja dla sądów, adwokatów, przedsiębiorstw i organów administracji publicznej

Dlaczego ten obszar badań ma znaczenie kryminalistyczne?

Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten.

Wartość kryminalistyczna nie polega wyłącznie na ilości znalezionych danych, ale na ich pochodzeniu i wiarygodności. Nazwa pliku, sygnatura czasowa lub wpis w bazie danych mogą być mylące bez odpowiedniego kontekstu. Dlatego dokumentujemy, w jaki sposób dany artefakt mógł powstać, jakie istnieją alternatywne wyjaśnienia oraz jakie dodatkowe ślady potwierdzają ustalenia.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Zwłaszcza w przypadku nowoczesnych komputerów Mac próba przeprowadzenia „klasycznej“ analizy nośnika danych może zakończyć się niepowodzeniem z powodu ograniczeń technicznych. Szyfrowanie sprzętowe, Secure Enclave, FileVault i APFS jasno pokazują, dlaczego tak ważne jest wykonanie profesjonalnej kopii zapasowej przed rozpoczęciem właściwej analizy. Błędów popełnionych na tym etapie nie zawsze da się później naprawić.

Najczęściej zadawane pytania

Was ist bei „SQLite-, WAL- und SHM-Artefakte manuell validieren“ forensisch zu beachten?
Nasze badanie nie rozpoczyna się od uruchomienia programu analitycznego, lecz od zebrania dowodów. Dokumentujemy urządzenie, model, numer seryjny lub inwentarzowy, stan połączeń, widoczny stan systemu oraz dostępne urządzenia peryferyjne. Następnie podejmujemy decyzję, czy system musi pozostać wyłączony, czy sensowne jest przeprowadzenie analizy na żywo, czy też z technicznego punktu widzenia uzasadnione jest zastosowanie procedury odzyskiwania danych, dysku docelowego lub dysku współdzielonego. W kolejnym kroku ustalana jest strategia tworzenia kopii zapasowej. Rozróżniamy przy tym między obrazowaniem blokowym, kopią zapasową logiczną a ukierunkowaną selekcją danych. Wybór nie zależy od wygody, ale od generacji sprzętu, funkcji FileVault, struktury APFS, dostępnego stanu odblokowania oraz konkretnego zagadnienia dowodowego. Tam, gdzie jest to technicznie możliwe, pracujemy w trybie tylko do odczytu. Nieuniknione zmiany stanu podczas działań na żywo lub odzyskiwania są wyraźnie protokołowane. Utworzona kopia zapasowa jest dokumentowana za pomocą wartości skrótu. Właściwa analiza nie odbywa się na oryginale, lecz na kopii roboczej lub zweryfikowanym obrazie dowodowym. Dzięki temu można wykorzystywać parsery, funkcje wyszukiwania lub własne programy pomocnicze bez ciągłego modyfikowania oryginalnego materiału dowodowego. W złożonych przypadkach świadomie nie korzystamy z jednego oprogramowania. RECON LAB, RECON ITR, Belkasoft X oraz X-Ways zapewniają różne perspektywy spojrzenia na ten sam materiał dowodowy. Jeśli dany artefakt nie jest w pełni uwzględniony przez standardowe parsery, uzupełniamy badanie o specjalnie opracowane programy pomocnicze i skrypty. Zawsze kluczowe znaczenie ma przy tym powiązanie z danymi surowymi: samodzielnie opracowany parser ma sens z punktu widzenia kryminalistyki tylko wtedy, gdy jego wynik jest powtarzalny i możliwy do zweryfikowania technicznie. Dla czytelnika niebędącego specjalistą w tej dziedzinie szczególnie ważna jest jedna kwestia: program kryminalistyczny nie „odnajduje“ automatycznie prawdy. Odczytuje on struktury danych i interpretuje je zgodnie ze znanymi regułami. Jeśli firma Apple zmieni bazę danych lub format metadanych w nowej wersji systemu macOS, parser może zareagować niekompletnie lub błędnie. Dlatego w przypadku kluczowych ustaleń sprawdzamy, z jakiego pliku, bazy danych lub struktury systemu plików pochodzi wynik oraz czy druga metoda techniczna potwierdza ten sam stan faktyczny. To również powód, dla którego korzystamy z kilku narzędzi. RECON LAB może natywnie analizować struktury specyficzne dla Apple w systemie macOS; Belkasoft X oferuje inne spojrzenie na artefakty i korelacje; X-Ways umożliwia bardzo szczegółową analizę systemu plików i danych surowych. Jeśli niezależne analizy są zgodne, zwiększa to wiarygodność wyników. Jeśli się nie zgadzają, badana jest przyczyna, a nie wybierany jest po prostu najwygodniejszy wynik.
Jak w praktyce przebiega takie badanie kryminalistyczne?
1. Zebranie dowodów i dokumentacja stanu Urządzenie Apple jest najpierw jednoznacznie identyfikowane, a następnie dokumentowane fotograficznie lub na piśmie. Odnotowujemy, czy urządzenie jest włączone czy wyłączone, zalogowane, zablokowane lub podłączone do zewnętrznych nośników danych. Informacje te mogą mieć później kluczowe znaczenie. 2 Klasyfikacja techniczna Określana jest generacja chipu, wersja systemu macOS, struktura APFS, FileVault oraz odpowiednie mechanizmy bezpieczeństwa. Dopiero na tej podstawie wybierana jest odpowiednia metoda gromadzenia danych. 3 Kopia zapasowa zgodna z zasadami zabezpieczania dowodów Kopia zapasowa jest wybierana w taki sposób, aby jak najmniej ingerować w oryginał. W zależności od przypadku RECON ITR może być wykorzystywany do tworzenia obrazów dyskowych lub selekcji danych na nowoczesnych komputerach Mac. Inne sytuacje wymagają użycia Apple Recovery, trybu Target Disk Mode w przypadku procesorów Intel lub trybu Share Disk w przypadku Apple Silicon. Każdy krok jest protokołowany. 4 Kontrola integralności Utworzone obrazy lub kopie zapasowe logiczne są jednoznacznie nazywane, opatrzone wartościami skrótu i weryfikowane. Analiza i przeszukiwanie odbywają się następnie na kopiach roboczych. 5 Wieloetapowa ocena: RECON LAB, Belkasoft X i X-Ways są łączone w zależności od zadania. W miarę możliwości istotne wyniki nie są przejmowane wyłącznie z jednego widoku parsera. 6 Ręczna weryfikacja Jeśli dany artefakt ma szczególne znaczenie dowodowe, jest nietypowy lub jest tylko częściowo obsługiwany przez standardowe oprogramowanie, ręcznie sprawdzamy dane surowe, struktury baz danych, metadane lub informacje o systemie plików. W razie potrzeby wykorzystujemy własne narzędzia. 7 Raport i odniesienie do dowodów Na koniec nie ograniczamy się jedynie do wyliczenia wyników wyświetlonych przez narzędzie. Wyjaśniamy, jakie źródło techniczne stanowi podstawę ustaleń, jakie wnioski są dopuszczalne oraz gdzie istnieją ograniczenia.
Jaką wartość dowodową mają wyniki badań kryminalistycznych w tej dziedzinie?
Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten. Der forensische Wert liegt nicht allein in der Menge gefundener Daten, sondern in deren Herkunft und Belastbarkeit. Ein Dateiname, ein Zeitstempel oder ein Datenbankeintrag kann ohne Kontext missverständlich sein. Deshalb dokumentieren wir, wie ein Artefakt entstanden sein kann, welche Alternativerklärungen bestehen und welche weiteren Spuren den Befund stützen. Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft. Gerade auf modernen Macs kann außerdem der Versuch einer „klassischen“ Datenträgeranalyse an technischen Grenzen scheitern. Hardwaregebundene Verschlüsselung, Secure Enclave, FileVault und APFS machen deutlich, warum eine fachgerechte Sicherung vor der eigentlichen Analyse so wichtig ist. Fehler in dieser Phase können später nicht immer rückgängig gemacht werden.
Czy w trakcie takiego badania przypuszczenia przedstawiane są jako pewne wyniki?
Nie. Wyniki badań technicznych są przedstawiane wyłącznie w zakresie, w jakim potwierdzają je faktycznie zgromadzone dane. Założenia, których nie da się potwierdzić, nie są formułowane jako potwierdzone ustalenia.
Warum darf man die Datenbank nicht einfach öffnen?
Weil das Öffnen einen Checkpoint auslösen und die WAL-Datei verändern kann.
Findet man in der WAL gelöschte Nachrichten?
Manchmal, wenn ältere Seitenversionen noch nicht überschrieben sind.
Gilt das nur für macOS?
Nein, auch iOS, Android und Windows-Anwendungen nutzen SQLite mit WAL.

Weiterführende Themen

LanCologne – analiza kryminalistyczna systemu macOS w Kolonii

Sie benötigen eine professionelle Untersuchung zu „SQLite-, WAL- und SHM-Artefakte manuell validieren“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.

Skontaktuj się z nami już teraz