Seminar ALEAPP Fortgeschrittene Analyse: Android-Logs, App-Datenbanken und Protobuf

Zielsetzung

Dieses Seminar führt über die reine Werkzeugbedienung hinaus. Ziel ist die fachlich belastbare Interpretation von ALEAPP-Ergebnissen im Zusammenspiel mit Android-Rohdaten. Im Vordergrund stehen Logs, App-Datenbanken, Zeitachsen, Protobuf-nahe Datenstrukturen, Cache- und Konfigurationsdateien sowie die systematische Prüfung, ob ein automatisch erzeugter Befund plausibel, vollständig und korrekt eingeordnet ist.

Analyseansatz

Automatisierte Parser liefern Geschwindigkeit, aber keine Urteilskraft. Das Seminar trainiert deshalb einen klassischen forensischen Arbeitsstil: Ergebnis lesen, Rohdatenstelle finden, Datenbestand prüfen, Zeitstempel normalisieren, alternative Erklärungen berücksichtigen und Befunde sauber dokumentieren. Besonders behandelt werden Fälle mit unvollständigen Extraktionen, Versionsunterschieden, App-Updates, Zeitzonenverschiebungen und widersprüchlichen Datenständen.

Inhalte

• Vertiefte Auswertung von ALEAPP-Berichten, Tabellen, Timeline-Daten und Verarbeitungsprotokollen
• Abgleich zwischen Reportausgabe und Originaldateien in Android-Extraktionen
• Analyse von App-Datenbanken, SQLite-Journalen, WAL-Dateien und gelöschten oder überschriebenen Datensätzen
• Interpretation von Android-Logs, Systemereignissen, App-Aktivitäten und Nutzungsartefakten
• Umgang mit Protobuf-nahen Daten, Binärfeldern, Serialisierung und fragmentierten Datenbeständen
• Zeitstempelanalyse mit Epoch-Formaten, lokalen Zeiten, UTC-Bezug, App-spezifischen Abweichungen und Plausibilitätsketten
• Bewertung typischer Fehlerquellen wie leere Artefakte, doppelte Einträge, falsch interpretierte IDs und fehlende Kontextdaten

Praxisanteil

Die Übungen verwenden fallorientierte Datensätze mit absichtlich eingebauten Unschärfen. Auswertungen werden zunächst mit ALEAPP erzeugt, anschließend gegen die Rohdaten geprüft und zuletzt in eine nachvollziehbare Befundbeschreibung überführt. Dadurch entsteht ein belastbarer Analyseweg, der auch bei späteren Gutachten, internen Reports oder technischen Reviews Bestand hat.

Abgrenzung

Das Seminar ist nicht als Einstieg gedacht. Es setzt voraus, dass ALEAPP gestartet, Eingaben verarbeitet und Reports grundsätzlich gelesen werden können. Parserentwicklung wird nur soweit behandelt, wie sie für Verständnis und Validierung erforderlich ist. Für eigene Module ist das Entwicklungsseminar passender.