SQLite Forensisch onderzoek: WAL & SHM micro-cursus
Learn how to recover deleted, uncommitted, and overwritten SQLite data
advanced level | 2 HouRS | updated 2026
Explore SQLite’s WAL and SHM files and uncover database activity that standard decoded views may overlook. This focused 2-hour micro-course teaches you how to analyze WAL frames and the SHM index, identify pre-checkpoint records, track database changes, and reconstruct app activity with confidence.
SQLite Forensisch onderzoek: WAL & SHM (Micro-cursus)
Explore SQLite’s WAL and SHM files and uncover database activity that standard decoded views may overlook. This focused 2-hour micro-course teaches you how to analyze WAL frames and the SHM index, identify pre-checkpoint records, track database changes, and reconstruct app activity with confidence.
Overzicht van wat je leert
● Begrijpen hoe WAL- en SHM-bestanden SQLite-databasewijzigingen in de loop van de tijd bijhouden
● WAL-frames en SHM-indexstructuren decoderen om verwijderde of overschreven gegevens te lokaliseren
● Vindt bewijs dat wordt gemist door gewone forensische tools
● Reconstrueer tijdlijnen van app-activiteit
● Gereedschapsuitvoer valideren en manipulatie of afwijkingen opsporen
Is deze cursus iets voor jou?
Deze cursus is ideaal voor forensische professionals die:
● Noodzaak om de opeenvolging van gebeurtenissen van mobiele app-activiteit te traceren
● Verwijderde of niet-gecommitteerde SQLite-records handmatig analyseren
● Werken aan onderzoeken waarbij veel op het spel staat of die kritiek zijn op de tijd
● Geef de voorkeur aan gerichte, praktische training met onmiddellijke aanknopingspunten
Waarom onderzoekers voor deze cursus kiezen
● Wijzigingen bijhouden op paginaniveau , follow the flow of data between versions and edits
● WAL- en SHM-gegevens uit de praktijk , work with live forensic samples
● Geen scripts nodig , clear, step-by-step instruction
● 2 uur totaal , concise and focused
● Flexibele levering , on-demand or live online
● Inclusief certificaat , proof of training and skills
In de cursus (video)
Cursusindeling en prijzen
On-Demand: wanneer het jou uitkomt
Live Online: Get a quote for groups
Wat je leert
In deze cursus leer je het volgende:
- SQLite's systeem voor het bijhouden van wijzigingen decoderen Begrijpen hoe Write-Ahead Logs (WAL) en Shared Memory (SHM) bestanden bijhouden wat er veranderd is, wanneer en hoe.
- Herstel overschreven en verwijderde inhoud Haal waardevol bewijs uit niet-vastgelegde transacties en onaangeroerde WAL-frames die door standaardtools worden gemist.
- Databaseactiviteit reconstrueren Gebruik WAL-frames en SHM-indexpagina's om de volgorde, timing en aard van veranderingen in de loop van de tijd te achterhalen.
- Uitvoer van tools valideren of betwisten Vergelijk de bevindingen van het hulpmiddel met onbewerkte gegevens op frameniveau om hiaten of geknoei op te sporen.
- Wijzigingen in de database duidelijk uitleggen Learn to document what changed, why it matters, and how you proved it , suitable for reports or court.
- Werken met echte forensische gegevens Oefen je vaardigheden op authentieke datasets uit mobiele casusscenario's.
Inbegrepen in je training
- Focus op SQLite tijdlijnen Go beyond snapshots , see what happened voor gegevens werden vastgelegd of verwijderd.
- WAL en SHM beheersing Leer hoe frames zijn gestructureerd, hoe SHM-indexpagina's de interpretatie begeleiden en hoe u door beide kunt navigeren.
- Gereedschaponafhankelijke technieken Learn to verify findings manually , without relying on automated parsing.
- Stapsgewijze levering zonder code Designed for examiners , no SQL or programming required.
- Flexibel formaat Doe live mee of studeer on-demand in je eigen tempo.
- Certificaat van voltooiing Ontvang officiële erkenning van je vaardigheden na het afronden van de cursus.
Cursusinhoud
Alle secties uitvouwen- De rol van WAL en SHM in de architectuur van SQLite begrijpen
- Leer hoe WAL het bijhouden van wijzigingen en uitgestelde schrijfacties mogelijk maakt
- Individuele WAL-frames en headers decoderen
- Paginawijzigingen en transactiegrenzen identificeren
- SHM-bestanden en hun indexeringsrol verkennen
- SHM-gegevens gebruiken om door WAL-frames te navigeren en deze te interpreteren
- Verwijderde gegevens vinden in niet-gecontroleerde WAL-segmenten
- Niet vastgelegde inserts, updates en gegevens identificeren die nooit in de hoofddatabase terecht zijn gekomen
- Tijdlijnen voor actie opnieuw opbouwen op basis van WAL- en SHM-wijzigingen
- Wijzigingen afstemmen op precieze transactiepunten
- Toolresultaten valideren door ruwe WAL/SHM-gegevens te vergelijken
- Hiaten, afwijkingen en mogelijk geknoei opsporen
Het is ontworpen voor digitale forensisch onderzoekers, onderzoekers, analisten en responders die werken met SQLite-databases en mobiele app-gegevens.
This course is for digital forensic professionals, incident responders, and analysts who need to extract evidence from the often-overlooked WAL and SHM files in SQLite databases. It's ideal when deleted or modified content isn't available in the main database file , and your tools don't go far enough.
Het is vooral handig als je:
- Onderzoek mobiele app-gegevens van iOS- of Android-apparaten
- Verwijderde records herstellen of overschreven records analyseren
- Zijn belast met het valideren van toolresultaten of het identificeren van manipulatie
- Databaseactiviteit in de loop van de tijd willen reconstrueren
- Werken in een juridische, regelgevende of interne onderzoeksomgeving
- Geef de voorkeur aan praktijkgericht leren in plaats van dia's of theorie
Whether you're working in law enforcement, corporate investigations, or digital forensics labs , this course gives you the skills to uncover critical evidence in WAL and SHM files.
Wie helpt deze cursus
Onderzoekers mobiele apps
Graaf verder dan het databasebestand om verwijderde of overschreven inhoud uit WAL- en SHM-bestanden te halen.
Tool Validators
Test de grenzen van je forensische tools door gedecodeerde uitvoer te vergelijken met onbewerkt transactielaagbewijs.
Technisch analisten
Understand how SQLite tracks changes using WAL frames and SHM index pages , and how to parse them manually.
Verslagschrijvers
Explain how and when data changed, not just what was recovered , with clarity that stands up in court.
Leerlingen uit de praktijk
Geen pluisjes. Werk met echte forensische WAL/SHM-monsters in een begeleide, laboratoriumgestuurde indeling die is ontworpen voor diepgaande retentie.
Teams Juridische Zaken en Naleving
Heb je bewijs nodig dat aantoont wat er veranderd is en wanneer? Leer technieken die stand houden bij nauwkeurig onderzoek.
Je instructeur
This course is taught by James Eichbaum, a leading expert in digital forensics and one of the most experienced instructors in mobile and database analysis. With over 15 years of experience teaching SQLite forensics, James has trained professionals across 30+ countries.
Daarvoor was hij Global Training Manager bij MSAB en heeft hij geavanceerde trainingen gegeven aan honderden organisaties wereldwijd, waaronder nationale politiebureaus, overheden en particuliere DFIR-laboratoria. Zijn instructie combineert diepgaande technische vaardigheden met uitgebreide praktijkervaring uit echte onderzoeken.
In deze microcursus leidt James je door de interne werking van SQLite-databases, inclusief verwijderde records, freelistpagina's en overloopstructuren, met behulp van een praktische, toolonafhankelijke aanpak die is ontworpen om je vaardigheden te geven die je meteen kunt toepassen.
Maak verbinding met James op LinkedIn- 15+ jaar lesgeven in digitaal en mobiel forensisch onderzoek
- Voormalig Global Training Manager bij MSAB
- Voormalig Californisch P.O.S.T. Instructeur
- Rechercheur bij Sacramento Valley High Tech Crimes Task Force
- Special Deputy U.S. Marshal in FBI Cyber Crimes Task Force
- HTCIA Case van het Jaar (2011)
Kies je trainingsformaat
- Op elk moment starten
- 90 dagen volledige toegang
- Werk in je eigen tempo
- Certificering inbegrepen
- E-mailondersteuning en bibliotheek met bronnen
Online leven
Join instructor-led sessions remotely. Request a private team session.
- Private virtual sessions
- Live instructie & vraag & antwoord
- Interactieve labs
- Certificering inbegrepen
- E-mailondersteuning en bibliotheek met bronnen
Neem contact met ons op voor groepsprijzen ⟶
Certificering en CPE-credits
Deze micro-cursus en de volledige SQLite Forensics Track
Deze gerichte micro-cursus is een op zichzelf staande module die is ontworpen om snel en gericht te leren. Hij is ontwikkeld om digitale onderzoekers te helpen begrijpen hoe SQLite wijzigingen bijhoudt via WAL- en SHM-bestanden , especially when you need to recover deleted data or reconstruct database activity that standard tools miss. In just 2 hours, you'll gain expertise in WAL frame analysis, SHM index interpretation, and timeline reconstruction.
Deze micro-cursus maakt deel uit van onze bredere trainingsstrategie en is zorgvuldig geselecteerd uit het volledige Cursus SQLite forensisch onderzoek voor gevorderden. Die grotere cursus beslaat drie volledige dagen (of een equivalent daarvan op aanvraag) en biedt geavanceerde labs, certificering en tot 24 CPE-credits.
In de volledige versie van de cursus leer je ook:
- Volledige interne SQLite-structuur (pagina's, headers, VarInts)
- Freelist-pagina-analyse en herstel van overlooprecords
- Aangepaste app parsing en B-Tree navigatie
- Geavanceerde technieken voor het snijden van niet-toegewezen ruimte
- Advanced workflows for unsupported app database analysis
- Op scenario's gebaseerde CTF-uitdagingen om vaardigheden te testen en te versterken
FAQ
Alles uitbreidenOn-demand: Toegang tot alle 2 uur inhoud in je eigen tempo. Ideaal voor werkende professionals die flexibel willen kunnen trainen tussen actieve cases door.
Live online: Door instructeur geleide sessies op afstand. De timing kan worden aangepast aan uw team.
Yes , this course has been completely redesigned and updated for 2026. It reflects the latest findings, updated SQLite behavior, and modern forensic challenges based on real-world casework.
Yes! We offer flexible group training options , including discounted rates for teams of 5 or more. Agencies, labs, and organizations can request custom scheduling and onboarding support tailored to their needs.
Absoluut. We bieden e-mailondersteuning voor instructeurs, zodat je zelfverzekerd en in je eigen tempo vorderingen kunt blijven maken.
Perfect. This course complements those skills by going deeper into WAL and SHM file analysis. You'll learn what automated tools often overlook , like reconstructing timeline data from WAL frames and recovering deleted activity from SHM indexes.
De cursus wordt geleid door Elusive Data's senior instructeur, James Eichbaum, een forensisch specialist die professionals heeft getraind van nationale politiekorpsen, federale, staats- en lokale wetshandhavers, overheids- en militaire agentschappen en wereldwijde DFIR-teams. Je leert van iemand met diepgaande, praktische ervaring in echte onderzoeken. James geeft al meer dan 15 jaar les in database forensisch onderzoek.
Ja. Elke module bevat interactieve labs met echte WAL- en SHM-bestanden. Je past het geleerde meteen toe door middel van begeleide oefeningen waarin tijdlijnreconstructie en herstel van verwijderde gegevens worden geanalyseerd.
Deze microcursus is ontworpen om een cruciale leemte in forensische training op te vullen: begrijpen hoe SQLite WAL en SHM bestanden databasewijzigingen bijhouden en herstelbare gegevens opslaan.
In slechts 2 gerichte uren leer je hoe WAL-frames transactiegeschiedenis vastleggen, hoe SHM-indexen paginamodificaties bijhouden en hoe je tijdlijnen van activiteiten kunt reconstrueren die standaard tools missen.
Aan de hand van realistische voorbeelden en niet-ondersteunde apps ga je praktisch aan de slag met het ontleden van WAL-headers, het interpreteren van checkpointgegevens en het nauwkeurig herstellen van verwijderde transacties.
Deze cursus wordt voortdurend bijgewerkt en is gemaakt voor werkende professionals. De cursus biedt snelle, gerichte en praktische training zonder de kantjes ervan af te lopen.
Je moet vertrouwd zijn met het navigeren door forensische tools en het werken met mobiele artefacten, maar je hoeft geen ontwikkelaar te zijn. We begeleiden je door low-level concepten zoals WAL frame parsing, checkpoint analyse en SHM index interpretatie met duidelijke uitleg en hands-on labs.
Ja. De cursus is certificaatgebaseerd en ontworpen door een voormalig wetshandhaver met echte getuigeniservaring. De workflows die worden aangeleerd zijn klaar voor de rechtszaal en gemaakt om te worden beoordeeld.
Yes. The course is built around real-world app data, not generic examples. You'll learn practical workflows you can apply immediately , even when your tools fall short.
Great , this course is designed to work alongside them. You'll learn how to verify tool output, investigate unsupported apps, and recover evidence those tools often overlook.
Ja! We plannen regelmatig live online sessies waaraan je samen met andere professionals kunt deelnemen. Deze geplande cursussen bieden dezelfde uitgebreide inhoud met real-time interactie en vraag- en antwoordsessies.
Bekijk onze cursuskalender om de komende geplande data te zien en je in te schrijven voor beschikbare sessies.
Absoluut! Als de geplande cursusdata voor jou niet werken, regelen we graag een live privésessie op een moment dat het jou uitkomt.
Gewoon een boekingsaanvraag indienen met de datums en tijden van je voorkeur en we zoeken samen met jou naar een geschikt tijdstip. Dit is perfect voor teams of organisaties met specifieke timingvereisten.
No , if you later decide to enroll in the complete SQLite Forensics course, we'll deduct the full cost of this microcourse from your total. Just reach out to us before enrolling in the full course.