Uygulama veri tabanı (SQLite) incelemesi, mobil ve masaüstü uygulamaların yerel verilerini sakladığı SQLite dosyalarını çözümleyerek kullanıcı etkinliğine dair adli kanıt elde etme işidir. SQLite tek bir dosyaya sığan, sunucu gerektirmeyen hafif bir veri tabanı olduğu için mesajlaşma, tarayıcı, e-posta ve konum uygulamalarının neredeyse tamamı verisini bu biçimde tutar; bu da onu adli incelemenin en verimli kaynaklarından biri yapar.

Bir uygulamanın SQLite dosyası, o uygulamada kimin ne yaptığını satır satır, zaman damgalarıyla saklayan yerel bir arşivdir.

İçinde Ne Bulunur?

Bir uygulamanın veri tabanı, işlevine göre çok farklı izler barındırır: bir mesajlaşma uygulamasında konuşmalar, gönderici ve alıcı kimlikleri ve gönderim zamanları; bir tarayıcıda gezinme geçmişi ve indirmeler; bir konum uygulamasında koordinat ve zaman kayıtları. Analist, tabloların şemasını çıkararak hangi sütunun neyi tuttuğunu belirler ve çoğu zaman uygulamanın arayüzünde silinmiş görünen ama veri tabanında hâlâ duran satırlara ulaşır.

İncelemenin doğruluğu, veri tabanına eşlik eden yardımcı dosyaların da dikkate alınmasına bağlıdır. Önceden yazma günlüğü (-wal) ve paylaşımlı bellek (-shm) dosyaları, ana dosyaya henüz aktarılmamış son değişiklikleri barındırabilir; bu dosyalar atlanırsa en güncel kayıtlar ya da bir işlemin ara durumu gözden kaçar. Bu nedenle SQLite incelemesi, veri tabanının ham baytlarına kadar inen bir dosya sistemi adli analizi titizliğiyle yürütülür.

Zaman Damgaları ve Yorumlama

SQLite kayıtlarındaki en değerli alanlar genellikle zaman damgalarıdır, ancak bunların yorumlanması dikkat ister. Farklı uygulamalar zamanı farklı biçimlerde saklar: kimi Unix saniyesi, kimi milisaniye, kimi ise kendi başlangıç noktasına göre sayılan özel bir biçim kullanır. Bu biçimin yanlış çözülmesi, bir olayı yıllarca ötelenmiş gösterebilir; bu yüzden analist her alanın biçimini doğrular ve mümkünse aynı olayın ikinci bir izle teyidini arar.

Doğru çözülmüş zaman damgaları, tek tek kayıtları bir akışa dönüştürür. Bir mesajın gönderildiği an, bir dosyanın indirildiği an ve bir uygulamanın açıldığı an art arda dizildiğinde, kullanıcının davranışı adım adım yeniden kurulur. Bu diziler zaman çizelgesi analizi içinde farklı uygulamalardan gelen izlerle birleştirildiğinde, tek bir uygulamanın ötesine geçen bütünsel bir olay tablosu ortaya çıkar.

İncelemedeki Değeri

SQLite incelemesi, bir cihazın kullanıcısının niyetini ve eylemlerini en doğrudan gösteren kaynaklardan biri olduğu için, çalışan suistimalinden veri sızdırmaya, mobil cihaz incelemelerinden zararlı yazılım araştırmalarına kadar geniş bir alanda belirleyicidir. Silinmiş bir sohbetin geri gelmesi ya da bir konum kaydının ortaya çıkması, çoğu vakada olay anlatısının kilit taşını oluşturur.

Bu bulgular tek başına değil, olayın bütünü içinde değerlendirilir ve DFIR adli analiz ve olay müdahalesi sürecinin diğer kanıtlarıyla çapraz doğrulanır. Privia Security, uygulama veri tabanlarından delil niteliğinde kayıt çıkarma işini adli analiz hizmeti kapsamında, kanıt bütünlüğünü koruyan bir yöntemle yürütür.