Informática forense · macOS

Análise forense de bases de dados SQLite no macOS – Avaliação conjunta da base de dados, do WAL e do SHM

O SQLite é utilizado por inúmeras aplicações do macOS e de terceiros para o armazenamento local de dados. Dependendo do modo de registo, além da base de dados principal, os ficheiros de registo antecipado (WAL) e os ficheiros de memória partilhada (SHM), em particular, podem ser relevantes para uma análise forense.

Pedido de informação sem compromisso

Uma cópia isolada apenas da base de dados principal pode resultar num estado incompleto. Por isso, os ficheiros da base de dados que fazem parte de um mesmo conjunto devem ser registados de forma a garantir a validade probatória e deve ter-se em conta a sua relação técnica.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Analisamos as bases de dados SQLite sempre no contexto dos ficheiros complementares existentes. O esquema, as tabelas, os tipos de dados e os registos relevantes são documentados; o conteúdo do WAL é devidamente tido em conta, sem alterar a base de dados original através de uma abertura não controlada.

Os conteúdos eliminados ou que já não são referenciados só são apresentados como resultados se for possível verificar a sua origem técnica e integridade.

Áreas de aplicação típicas

•Análise de bases de dados de aplicações e do sistema
•Análise do WAL e do SHM do SQLite
•Análise forense de aplicações de mensagens e de comunicação
•Análise de dados do navegador e de utilização
•Reconstrução de conjuntos de dados históricos
•Validação de carimbos de data e hora e de relações
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Após a cópia de segurança forense, a base de dados principal, o WAL, o SHM e outros ficheiros associados são inventariados e submetidos a um cálculo de hash em conjunto. A análise é realizada em cópias de trabalho.

Em primeiro lugar, é analisado o estado lógico da base de dados. Em seguida, o WAL e, se for o caso, outras áreas de dados são analisados para identificar informações adicionais relevantes. Os registos de dados reconstruídos são claramente distinguidos dos registos de dados regularmente ativos.

Por que razão esta área de investigação é relevante do ponto de vista forense?

O SQLite é uma das fontes de dados mais importantes das aplicações modernas do macOS. Os ficheiros WAL, em particular, podem conter transações que ainda não são visíveis, ou já não são visíveis, numa base de dados principal considerada isoladamente.

Por isso, do ponto de vista forense, são fundamentais o registo completo, a análise reproduzível e uma separação clara entre o conjunto de dados ativo e os fragmentos reconstruídos.

Perguntas frequentes

Por que razão os ficheiros WAL são importantes?+
No modo de registo antecipado (Write-Ahead Logging), o ficheiro WAL pode conter informações sobre transações atuais ou anteriores.
Deve-se abrir simplesmente uma base de dados SQLite original?+
Não. As análises forenses são realizadas em cópias de trabalho protegidas, para que o original e os ficheiros associados permaneçam inalterados.
Um ficheiro SHM é sempre relevante para efeitos probatórios?+
O seu significado depende do estado concreto da base de dados; no entanto, faz parte do contexto operacional do WAL e não deve ser ignorado durante a criação da cópia de segurança.
É possível recuperar registos apagados?+
Em casos específicos, podem existir conteúdos adicionais ou que já não sejam referenciados de forma regular. A sua origem e fiabilidade devem ser validadas separadamente.

🔗 Temas relacionados

LanCologne – Análise forense do macOS em Colónia

Precisa de uma análise profissional do SQLite no macOS? A LanCologne ajuda-o a efetuar um backup com validade judicial e uma análise rastreável da base de dados, do WAL e do SHM.

Entre em contacto connosco agora