Informática forense · macOS

Validar manualmente os artefactos SQLite, WAL e SHM

Viele macOS-Anwendungen – Nachrichten, Safari, Fotos, Notizen – speichern ihre Daten in SQLite-Datenbanken. Neben der Hauptdatei existieren oft eine „-wal“- und eine „-shm“-Datei. Die WAL-Datei kann jüngere Änderungen und ältere Versionen von Datenbankseiten enthalten, die in der Hauptdatei noch nicht oder nicht mehr stehen.

Pedido de informação sem compromisso

No caso dos computadores Apple, este aspeto é particularmente importante, uma vez que a arquitetura de hardware e de segurança sofreu alterações significativas nos últimos anos. Um iMac Intel mais antigo, um Mac Intel com o chip de segurança T2 e um Mac Studio atual com Apple Silicon não devem ser tratados de acordo com o mesmo esquema técnico. O APFS, o Secure Enclave, o FileVault e o estado específico do sistema determinam quais os dados que estão acessíveis e qual o método de cópia de segurança que provoca o menor número de alterações.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Technischer Hintergrund

Im Write-Ahead-Logging werden Änderungen zunächst in die WAL geschrieben und später per Checkpoint in die Hauptdatei übernommen. Wer die Datenbank mit Standardwerkzeugen öffnet, kann einen Checkpoint auslösen und die WAL verändern. Unterschiedliche Parser behandeln WAL-Frames unterschiedlich; dadurch können Datensätze fehlen, doppelt erscheinen oder einem falschen Zeitpunkt zugeordnet werden.

Relevante Spuren und Datenquellen

  • Hauptdatenbank, -wal und -shm als Einheit gesichert
  • WAL-Frames mit Salt-Werten und Commit-Markierungen
  • Freelist-Seiten und nicht zugewiesener Bereich (gelöschte Datensätze)
  • Tabellenschema und Zeitstempelformate (z. B. Mac Absolute Time)

Porquê o LanCologne?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

So gehen wir vor

  • Sicherung der Dateien als Gruppe, Auswertung nur an Kopien.
  • Parserergebnis mit Seiten- und Frame-Ebene abgleichen.
  • Dokumentation, aus welcher Quelle (Hauptdatei, WAL-Frame, freier Bereich) ein Datensatz stammt.

Grenzen

  • Nach erfolgtem Checkpoint und Überschreiben sind ältere Stände nicht mehr vorhanden.
  • Die Zuordnung eines WAL-Frames zu einem exakten Zeitpunkt ist nicht immer möglich.

Mögliche Ergebnisse

  • Validierte Datensätze mit Herkunftsangabe
  • Hinweise auf gelöschte oder geänderte Einträge

Áreas de aplicação típicas

•Pareceres judiciais e extrajudiciais
•Preservação de provas em iMac, Mac mini, Mac Studio, MacBook e Mac Pro
•Análise de sistemas Apple Silicon, T2 e sistemas Intel mais antigos
•Resposta a incidentes e investigações de malware
•Análise de artefactos APFS, de utilizador, de aplicações e do sistema
•Reconstrução das atividades relacionadas com ficheiros, utilizadores e rede
•Verificação cruzada dos resultados da análise automática
•Análise de vestígios apagados, históricos ou apenas visíveis de forma indireta
•Documentação destinada a tribunais, advogados, empresas e autoridades

Por que razão esta área de investigação é relevante do ponto de vista forense?

Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten.

O valor forense não reside apenas na quantidade de dados encontrados, mas sim na sua origem e fiabilidade. Um nome de ficheiro, um carimbo temporal ou uma entrada numa base de dados podem ser ambíguos sem contexto. Por isso, documentamos como um artefacto pode ter surgido, quais as explicações alternativas existentes e quais os outros indícios que sustentam a conclusão.

Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft.

Além disso, especialmente nos Macs modernos, a tentativa de realizar uma análise „clássica“ do disco pode fracassar devido a limitações técnicas. A encriptação integrada no hardware, o Secure Enclave, o FileVault e o APFS deixam claro por que razão é tão importante efetuar um backup adequado antes da análise propriamente dita. Os erros cometidos nesta fase nem sempre podem ser corrigidos posteriormente.

Perguntas frequentes

Was ist bei „SQLite-, WAL- und SHM-Artefakte manuell validieren“ forensisch zu beachten?
A nossa investigação não começa com o lançamento de um programa de análise, mas sim com a recolha de provas. São documentados o dispositivo, o modelo, o número de série ou de inventário, o estado das ligações, o estado visível do sistema e os periféricos existentes. Em seguida, decide-se se o sistema deve permanecer desligado, se faz sentido uma recolha de dados em tempo real ou se um procedimento de recuperação, de disco de destino ou de disco partilhado é tecnicamente viável. Na etapa seguinte, define-se a estratégia de cópia de segurança. Para tal, distinguimos entre imagem orientada por blocos, cópia de segurança lógica e triagem seletiva. A escolha não depende da conveniência, mas sim da geração do hardware, do FileVault, da estrutura APFS, do estado de desbloqueio disponível e da questão probatória concreta. Sempre que tecnicamente possível, o trabalho é realizado em modo de só leitura. As alterações de estado inevitáveis durante medidas em tempo real ou de recuperação são expressamente registadas. O backup gerado é documentado com valores de hash. A análise propriamente dita não é realizada no original, mas sim numa cópia de trabalho ou numa imagem de prova verificada. Desta forma, é possível utilizar analisadores, pesquisas ou programas auxiliares próprios, sem alterar continuamente a prova original. Em casos complexos, optamos conscientemente por não trabalhar com um único software. O RECON LAB, o RECON ITR, o Belkasoft X e o X-Ways proporcionam diferentes perspetivas sobre o mesmo conjunto de provas. Quando um artefacto relevante não é totalmente abrangido por analisadores padrão, complementamos a investigação com programas auxiliares e scripts desenvolvidos internamente. O que se mantém sempre decisivo é a ligação aos dados brutos: um analisador desenvolvido internamente só faz sentido do ponto de vista forense se o seu resultado for reproduzível e tecnicamente verificável. Para um leitor sem conhecimentos especializados, há um aspeto particularmente importante: um programa forense não „descobre“ automaticamente a verdade. Ele lê estruturas de dados e interpreta-as de acordo com regras conhecidas. Se a Apple alterar uma base de dados ou um formato de metadados com uma nova versão do macOS, um analisador pode reagir de forma incompleta ou incorreta. Por isso, no caso de conclusões decisivas, verificamos de que ficheiro, base de dados ou estrutura do sistema de ficheiros provém o resultado e se uma segunda abordagem técnica confirma o mesmo facto. É também por isso que utilizamos várias ferramentas. O RECON LAB consegue analisar estruturas específicas da Apple de forma nativa no macOS; o Belkasoft X oferece uma perspetiva diferente sobre artefactos e correlações; o X-Ways permite análises muito detalhadas do sistema de ficheiros e dos dados brutos. Se as análises independentes coincidirem, isso aumenta a fiabilidade. Se não coincidirem, a causa é investigada e não se opta simplesmente pelo resultado mais conveniente.
Como decorre, na prática, uma investigação forense deste tipo?
1 Recolha de provas e documentação do estado O dispositivo Apple é, em primeiro lugar, identificado de forma inequívoca e documentado através de fotografias ou por escrito. Registamos se o dispositivo está ligado ou desligado, se está a iniciar sessão, bloqueado ou ligado a suportes de dados externos. Estas informações podem revelar-se decisivas mais tarde. 2 Classificação técnica São determinadas a geração do chip, a versão do macOS, a estrutura APFS, o FileVault e os mecanismos de segurança relevantes. Só a partir daí é que se determina o método de recolha adequado. 3 Cópia de segurança com garantia de integridade A cópia de segurança é selecionada de forma a que sejam alterados o mínimo possível no original. O RECON ITR pode ser utilizado, consoante o caso, para a criação de imagens ou triagem de Macs modernos. Outras situações exigem o Apple Recovery, o Target Disk Mode em processadores Intel ou o Share Disk em Apple Silicon. Cada passo é registado. 4 Verificação de integridade As imagens criadas ou as cópias de segurança lógicas são nomeadas de forma unívoca, dotadas de valores hash e verificadas. A análise e as pesquisas são, em seguida, realizadas em cópias de trabalho. 5 Avaliação em várias etapas O RECON LAB, o Belkasoft X e o X-Ways são combinados consoante a questão em causa. Sempre que possível, um resultado importante não é extraído apenas de uma única visualização do analisador. 6 Validação manual Quando um artefacto é particularmente relevante para a prova, invulgar ou apenas parcialmente suportado por software padrão, verificamos manualmente os dados brutos, as estruturas de bases de dados, os metadados ou as informações do sistema de ficheiros. Se necessário, recorremos a ferramentas próprias. 7 Relatório e referência probatória No final, não nos limitamos a enumerar o que uma ferramenta apresentou. Explicamos qual a fonte técnica que sustenta o resultado, que conclusão é admissível e onde existem limites.
Qual é o valor probatório forense dos resultados nesta área?
Viele macOS-Anwendungen speichern Informationen in SQLite. Eine belastbare Untersuchung berücksichtigt nicht nur die Hauptdatenbank, sondern je nach Zustand auch WAL- und SHM-Dateien und trennt aktive Datensätze von rekonstruierten Fragmenten. Der forensische Wert liegt nicht allein in der Menge gefundener Daten, sondern in deren Herkunft und Belastbarkeit. Ein Dateiname, ein Zeitstempel oder ein Datenbankeintrag kann ohne Kontext missverständlich sein. Deshalb dokumentieren wir, wie ein Artefakt entstanden sein kann, welche Alternativerklärungen bestehen und welche weiteren Spuren den Befund stützen. Automatische Parser können WAL-Inhalte unterschiedlich behandeln. Deshalb werden relevante Datensätze bei Bedarf direkt gegen Datenbankseiten, Transaktionskontext und Begleitdateien geprüft. Gerade auf modernen Macs kann außerdem der Versuch einer „klassischen“ Datenträgeranalyse an technischen Grenzen scheitern. Hardwaregebundene Verschlüsselung, Secure Enclave, FileVault und APFS machen deutlich, warum eine fachgerechte Sicherung vor der eigentlichen Analyse so wichtig ist. Fehler in dieser Phase können später nicht immer rückgängig gemacht werden.
Numa investigação deste tipo, as suposições são apresentadas como resultados comprovados?
Não. Os resultados das análises técnicas são apresentados apenas na medida em que sejam comprovados pelos dados efetivamente confirmados. As hipóteses não comprováveis não são formuladas como conclusões comprovadas.
Warum darf man die Datenbank nicht einfach öffnen?
Weil das Öffnen einen Checkpoint auslösen und die WAL-Datei verändern kann.
Findet man in der WAL gelöschte Nachrichten?
Manchmal, wenn ältere Seitenversionen noch nicht überschrieben sind.
Gilt das nur für macOS?
Nein, auch iOS, Android und Windows-Anwendungen nutzen SQLite mit WAL.

Weiterführende Themen

LanCologne – Análise forense do macOS em Colónia

Sie benötigen eine professionelle Untersuchung zu „SQLite-, WAL- und SHM-Artefakte manuell validieren“? LanCologne unterstützt Sie bei der beweissicheren Sicherung, mehrstufigen Auswertung und nachvollziehbaren Dokumentation. Entscheidend ist dabei nicht, möglichst viele automatische Treffer zu erzeugen, sondern technisch belastbare und überprüfbare Beweise zu sichern.

Entre em contacto connosco agora