IT-forensik · macOS

Manuell validering av SQLite-, WAL- och SHM-artefakter

Viele macOS-Anwendungen – Nachrichten, Safari, Fotos, Notizen – speichern ihre Daten in SQLite-Datenbanken. Neben der Hauptdatei existieren oft eine „-wal“- und eine „-shm“-Datei. Die WAL-Datei kann jüngere Änderungen und ältere Versionen von Datenbankseiten enthalten, die in der Hauptdatei noch nicht oder nicht mehr stehen.

Begär en icke-bindande offert

När det gäller Apple-datorer är denna punkt särskilt viktig, eftersom hårdvaran och säkerhetsarkitekturen har förändrats avsevärt under de senaste åren. En äldre Intel-iMac, en Intel-Mac med T2 Security Chip och en nyare Mac Studio med Apple Silicon får inte behandlas enligt samma tekniska schema. APFS, Secure Enclave, FileVault och det aktuella systemtillståndet avgör vilka data som är tillgängliga och vilken säkerhetsmetod som orsakar minst förändringar.

Automatiska parsare kan hantera WAL-innehåll på olika sätt. Därför kontrolleras relevanta dataposter vid behov direkt mot databassidor, transaktionskontext och tillhörande filer.

Technischer Hintergrund

Im Write-Ahead-Logging werden Änderungen zunächst in die WAL geschrieben und später per Checkpoint in die Hauptdatei übernommen. Wer die Datenbank mit Standardwerkzeugen öffnet, kann einen Checkpoint auslösen und die WAL verändern. Unterschiedliche Parser behandeln WAL-Frames unterschiedlich; dadurch können Datensätze fehlen, doppelt erscheinen oder einem falschen Zeitpunkt zugeordnet werden.

Relevante Spuren und Datenquellen

  • Hauptdatenbank, -wal und -shm als Einheit gesichert
  • WAL-Frames mit Salt-Werten und Commit-Markierungen
  • Freelist-Seiten und nicht zugewiesener Bereich (gelöschte Datensätze)
  • Tabellenschema und Zeitstempelformate (z. B. Mac Absolute Time)

Varför LanCologne?

LanCologne untersucht Apple-Computer nicht nach einem pauschalen Standardschema, sondern anhand der konkreten Hardware- und Sicherheitsarchitektur. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung in der Informationstechnologie und langjährige praktische Erfahrung in der IT-Forensik.

So gehen wir vor

  • Sicherung der Dateien als Gruppe, Auswertung nur an Kopien.
  • Parserergebnis mit Seiten- und Frame-Ebene abgleichen.
  • Dokumentation, aus welcher Quelle (Hauptdatei, WAL-Frame, freier Bereich) ein Datensatz stammt.

Grenzen

  • Nach erfolgtem Checkpoint und Überschreiben sind ältere Stände nicht mehr vorhanden.
  • Die Zuordnung eines WAL-Frames zu einem exakten Zeitpunkt ist nicht immer möglich.

Mögliche Ergebnisse

  • Validierte Datensätze mit Herkunftsangabe
  • Hinweise auf gelöschte oder geänderte Einträge

Typiska användningsområden

•Rättsliga och utomrättsliga utlåtanden
•Bevissäkring från iMac, Mac mini, Mac Studio, MacBook och Mac Pro
•Undersökning av Apple Silicon-, T2- och äldre Intel-system
•Incidenthantering och utredning av skadlig programvara
•Analys av APFS-, användar-, applikations- och systemartefakter
•Rekonstruktion av fil-, användar- och nätverksaktiviteter
•Korskontroll av automatiska parsningsresultat
•Analys av raderade, historiska eller endast indirekt synliga spår
•Dokumentation för domstolar, advokater, företag och myndigheter

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

Många macOS-program lagrar information i SQLite. En grundlig undersökning tar inte bara hänsyn till huvuddatabasen, utan även till WAL- och SHM-filer beroende på tillståndet, och skiljer aktiva dataposter från rekonstruerade fragment.

Det kriminaltekniska värdet ligger inte enbart i mängden data som hittats, utan i dess ursprung och tillförlitlighet. Ett filnamn, en tidsstämpel eller en databaspost kan vara missvisande utan sammanhang. Därför dokumenterar vi hur ett bevisföremål kan ha uppkommit, vilka alternativa förklaringar som finns och vilka ytterligare spår som stöder fyndet.

Automatiska parsare kan hantera WAL-innehåll på olika sätt. Därför kontrolleras relevanta dataposter vid behov direkt mot databassidor, transaktionskontext och tillhörande filer.

Särskilt på moderna Mac-datorer kan dessutom ett försök till en „klassisk“ dataanalys misslyckas på grund av tekniska begränsningar. Hårdvarubaserad kryptering, Secure Enclave, FileVault och APFS visar tydligt varför det är så viktigt att göra en korrekt säkerhetskopia innan den egentliga analysen påbörjas. Fel i detta skede kan inte alltid åtgärdas i efterhand.

Vanliga frågor

Vad bör man beakta ur ett kriminaltekniskt perspektiv vid „manuell validering av SQLite-, WAL- och SHM-artefakter“?
Vår undersökning inleds inte med att vi startar ett analysprogram, utan med insamlingen av bevismaterial. Enhet, modell, serienummer eller inventarienummer, anslutningsstatus, synligt systemtillstånd och befintlig kringutrustning dokumenteras. Därefter avgörs om systemet måste förbli avstängt, om en live-insamling är lämplig eller om en återställnings-, target-disk- eller share-disk-metod är tekniskt försvarbar. I nästa steg fastställs säkerhetskopieringsstrategin. Här skiljer vi mellan blockorienterad avbildning, logisk säkerhetskopiering och målinriktad triagering. Valet beror inte på bekvämlighet, utan på hårdvarugeneration, FileVault, APFS-struktur, tillgängligt upplåsningsläge och den konkreta bevisfrågan. Där det är tekniskt möjligt arbetar vi i skrivskyddat läge. Oundvikliga tillståndsförändringar vid live- eller återställningsåtgärder protokollförs uttryckligen. Den skapade säkerhetskopian dokumenteras med hashvärden. Den egentliga analysen sker inte på originalet, utan på en arbetskopia eller en verifierad bevisavbildning. På så sätt kan parsers, sökningar eller egna hjälpprogram användas utan att det ursprungliga bevismaterialet kontinuerligt förändras. I komplexa fall arbetar vi medvetet inte med en enda programvara. RECON LAB respektive RECON ITR, Belkasoft X och X-Ways ger olika perspektiv på samma bevismaterial. Om en relevant artefakt inte täcks fullständigt av standardparsare kompletterar vi undersökningen med egenutvecklade hjälpprogram och skript. Det avgörande är alltid kopplingen till rådata: En egenutvecklad parser är endast forensiskt meningsfull om resultatet är reproducerbart och tekniskt verifierbart. För en läsare utan fackkunskaper är en punkt särskilt viktig: Ett forensiskt program „hittar“ inte automatiskt sanningen. Det läser datastrukturer och tolkar dem enligt kända regler. Om Apple ändrar en databas eller ett metadataformat i en ny macOS-version kan en parser reagera ofullständigt eller felaktigt. Därför kontrollerar vi vid avgörande fynd från vilken fil, databas eller filsystemstruktur resultatet härrör och om en andra teknisk metod bekräftar samma sakförhållande. Det är också anledningen till att vi använder flera verktyg. RECON LAB kan utvärdera Apple-specifika strukturer direkt i macOS; Belkasoft X erbjuder en annan vy över artefakter och korrelationer; X-Ways möjliggör mycket detaljerade filsystem- och rådatakontroller. Om oberoende utvärderingar stämmer överens ökar detta tillförlitligheten. Om de inte stämmer överens undersöks orsaken och man väljer inte bara det enklaste resultatet.
Hur går en sådan kriminalteknisk undersökning till i praktiken?
1 Bevisinsamling och dokumentation av tillståndet Apple-enheten identifieras först entydigt och dokumenteras med fotografier eller skriftligt. Vi noterar om den är påslagen eller avstängd, inloggad, låst eller ansluten till externa datamedier. Denna information kan senare vara avgörande. 2 Teknisk klassificering Chipgeneration, macOS-version, APFS-struktur, FileVault och relevanta säkerhetsmekanismer fastställs. Det är först utifrån detta som den lämpliga registreringsmetoden fastställs. 3 Bevissäker säkerhetskopiering Säkerhetskopieringen väljs så att så lite som möjligt ändras på originalet. RECON ITR kan, beroende på fallet, användas för avbildning eller triagering av moderna Mac-datorer. Andra situationer kräver Apple Recovery, Target Disk Mode för Intel eller Share Disk för Apple Silicon. Varje steg loggas. 4 Integritetskontroll Skapade avbildningar eller logiska säkerhetskopior namnges entydigt, förses med hashvärden och verifieras. Analys och sökningar utförs därefter på arbetskopior. 5 Flerstegsutvärdering RECON LAB, Belkasoft X och X-Ways kombineras beroende på utredningsfrågan. Ett viktigt resultat hämtas om möjligt inte endast från en enda parservy. 6 Manuell validering Om ett artefakt är särskilt bevismässigt relevant, ovanligt eller endast delvis stöds av standardprogramvara, granskar vi rådata, databasstrukturer, metadata eller filsysteminformation manuellt. Vid behov används egna verktyg. 7 Rapport och bevisanknytning I slutet listas inte bara vad ett verktyg har visat. Vi förklarar vilken teknisk källa som ligger till grund för fynden, vilken slutsats som är tillåten och var gränserna går.
Vilken bevisvärde har resultaten inom detta område ur ett kriminaltekniskt perspektiv?
Många macOS-program lagrar information i SQLite. En tillförlitlig undersökning tar inte bara hänsyn till huvuddatabasen, utan även till WAL- och SHM-filer beroende på deras tillstånd, och skiljer aktiva dataposter från rekonstruerade fragment. Det forensiska värdet ligger inte enbart i mängden data som hittas, utan i deras ursprung och tillförlitlighet. Ett filnamn, en tidsstämpel eller en databaspost kan vara missvisande utan sammanhang. Därför dokumenterar vi hur en artefakt kan ha uppstått, vilka alternativa förklaringar som finns och vilka ytterligare spår som stöder fynden. Automatiska parsare kan hantera WAL-innehåll på olika sätt. Därför kontrolleras relevanta dataposter vid behov direkt mot databassidor, transaktionskontext och tillhörande filer. Särskilt på moderna Mac-datorer kan dessutom ett försök till en „klassisk“ datamedieanalys misslyckas på grund av tekniska begränsningar. Hårdvarubunden kryptering, Secure Enclave, FileVault och APFS visar tydligt varför en korrekt säkerhetskopiering före själva analysen är så viktig. Fel i denna fas kan inte alltid åtgärdas i efterhand.
Framställs antaganden som säkra resultat vid en sådan undersökning?
Nej. Resultaten av tekniska undersökningar redovisas endast i den utsträckning som de styrks av det faktiskt bekräftade datamaterialet. Antaganden som inte kan styrkas formuleras inte som bekräftade resultat.
Warum darf man die Datenbank nicht einfach öffnen?
Weil das Öffnen einen Checkpoint auslösen und die WAL-Datei verändern kann.
Findet man in der WAL gelöschte Nachrichten?
Manchmal, wenn ältere Seitenversionen noch nicht überschrieben sind.
Gilt das nur für macOS?
Nein, auch iOS, Android und Windows-Anwendungen nutzen SQLite mit WAL.

Weiterführende Themen

LanCologne – macOS-forensik i Köln

Behöver ni en professionell utredning om „manuell validering av SQLite-, WAL- och SHM-artefakter“? LanCologne hjälper er med bevissäker säkerhetskopiering, flerstegsanalys och spårbar dokumentation. Det avgörande är inte att generera så många automatiska träffar som möjligt, utan att säkra tekniskt hållbara och verifierbara bevis.

Kontakta oss nu