SQLite, tarayıcı geçmişinden mesajlaşma uygulamalarına, telefon rehberlerinden uygulama ayarlarına kadar sayısız yerde sessizce çalışan bir veri tabanıdır. Bu yaygınlık onu adli incelemenin en verimli kaynaklarından biri yapar. Bir kaydın uygulama arayüzünden silinmesi çoğu zaman verinin diskten anında yok olması anlamına gelmez; SQLite, silinen satırı hemen üzerine yazmak yerine ilgili alanı yeniden kullanılabilir olarak işaretler ve eski içerik bir süre daha dosyanın içinde kalır.

Silinen veri nereye gider?

Bir satır silindiğinde onu tutan sayfada bir boşluk açılır; bu boşluk “freelist” olarak izlenir ve içindeki baytlar yeni bir kayıt gelene kadar okunabilir durumda bekler. Bunun yanında SQLite’ın yazma önündeki günlük dosyaları, yani WAL ve journal dosyaları, ana veri tabanına işlenmemiş ya da geri alınmış değişikliklerin kopyalarını barındırabilir. Bir mesajın silinmiş sürümü bazen ana dosyada değil, tam da bu yardımcı dosyalarda bulunur.

SQLite’ta silmek, veriyi yok etmek değil, çoğu zaman yalnızca onun kapladığı yeri boş ilan etmektir.

Kurtarmanın yöntemi

Kurtarma, dosyayı satır satır uygulamaya sormak yerine ham baytları çözümlemekle başlar. İncelemeci, sayfa yapısını ve kayıt başlıklarını yorumlayarak serbest alandaki parçalanmış satırları yeniden kurar; WAL dosyalarındaki çerçeveleri sırayla okuyarak bir kaydın zaman içindeki farklı hallerini karşılaştırır. Bu yaklaşım, aynı zamanda verinin kasıtlı olarak temizlenip temizlenmediğini de gösterir. Silme işleminin ardından çalıştırılan bir “VACUUM” komutu ya da dosyanın sıfırdan yazılması gibi Anti-forensic teknikler, serbest alanı gerçekten geri döndürülemez biçimde silebilir; bunun izleri de analizde ortaya çıkar.

Bu tür bir kurtarma nadiren tek başına anlam taşır. Kurtarılan bir mesajın ya da işlem kaydının hangi kullanıcı bağlamında ve hangi cihazda oluştuğu, ancak daha geniş bir soruşturma zeminine oturtulduğunda değer kazanır. Bu nedenle SQLite kurtarma, DFIR adli analiz ve olay müdahalesi çalışmalarında bir uç noktadan çıkarılan diğer kanıtlarla birlikte okunur.

Zaman ve dosya sistemi boyutu

SQLite kayıtları çoğu zaman kendi zaman damgalarını taşır, ancak bu damgalar uygulamanın insafına bırakılmıştır ve değiştirilebilir. Kurtarılan bir kaydın gerçekten ne zaman oluştuğunu doğrulamak için, veri tabanı dosyasının kendi zaman bilgileriyle çakıştırma yapmak gerekir; bu da Dosya sistemi adli analizi alanına girer. Kurtarılan içerik ile dosyanın disk üzerindeki geçmişi bir araya getirildiğinde, ortaya kayıtların yaşam döngüsünü anlatan bir Zaman çizelgesi analizi çıkar.

• Serbest alandaki (freelist) silinmiş satırların yeniden kurulması
• WAL ve journal dosyalarından kaydın önceki hallerinin çıkarılması
• VACUUM ya da güvenli silme izlerinin tespiti
• Uygulama zaman damgalarının dosya sistemi zamanlarıyla doğrulanması

Uzman eliyle değerlendirme

Silinmiş bir SQLite kaydını geri getirmek teknik bir beceri, onu doğru yorumlamak ise bir muhakeme işidir; parçalanmış bir satırın hangi tabloya ait olduğunu ve ne anlama geldiğini kestirmek deneyim gerektirir. Privia Security’nin adli analiz ekibi, kurtarılan verileri bağlamından koparmadan, cihazın bütün kanıt tablosu içinde konumlandırarak değerlendirir ve bulguların mahkemede savunulabilir olmasını gözetir.