Appleの「Biome」フレームワークは、現代のiPhoneにおけるデジタル証拠の主要な情報源となっています。新たに登場したiLEAPPパーサーにより、これまであまり活用されていなかった84のストリームを調査担当者が解析できるようになりました。
この更新によって、iOSのファイルシステム取得データ全体に保存されている行動情報、コンテキスト情報、予測情報へのアクセスが大幅に拡張されます。
名称とは裏腹に、Biomeは生体認証システムではありません。これはSiriのインテリジェンス機能、レコメンデーション、パーソナライゼーション、予測、プロアクティブなユーザー体験をサポートするために使われるApple独自のフレームワークです。この点は、研究者のHoward Oakley氏が同機能に関する過去の分析ですでに解説しています。
こうした目的ゆえに、Biomeはフォレンジック調査において極めて重要な意味を持ちます。iOSがユーザーの行動を予測する際に利用するデータには、アプリの利用状況、位置情報、通知、デバイスの動作、メディア再生など、さまざまなコンテキスト情報の痕跡が残されている可能性があります。
この分野の初期の公開研究は2022年に登場しました。John Hyla氏が、Biomeのストリームファイルに含まれるAppIntentレコードを調査したのです。この研究により、iOSが/private/var/mobile/Library/Biome/streams/public/以下のファイルに、意味のある行動データを保存していることが明らかになりました。
その後、同年中にGeraldine Blay氏が、DuetExpertCenterディレクトリに保存された通知関連の証拠データの中に、同じ基盤フォーマットが使われていることを突き止めました。
同氏の調査によってSEGBファイルのシグネチャが特定され、これがフォレンジック分析担当者の間でこのフォーマットを指す一般的な呼称となりました。また、通知に関する同氏の分析からは、Biome関連のデータがアプリインテントの範囲をはるかに超えて広がっていることも判明しています。
過去のデータ取得記録を振り返ると、SEGBファイルはiOS 14で初めて一貫して確認されるようになったとみられます。
iOS 15ではパブリック、制限付き、通知関連のストリームが追加されてフレームワークが拡張され、iOS 16では/private/var/db/biome/streams/にシステムレベルのリポジトリが新設されました。
Appleはさらに、iOS 17で新しいSEGBv2フォーマットを導入し、フォレンジック業界全体でパーサーの更新対応が必要になりました。Cellebriteは、従来のSEGBフォーマットとSEGBv2の間にある主要な構造上の変更点を文書化し、研究者がデコード手法を調整する助けとなりました。
Biomeの拡大は、KnowledgeC.dbの価値低下とも関連しているとみられます。
KnowledgeCはかつてiOSにおける最も豊富な行動データベースの一つでしたが、過去のデータセットから得られた証拠によると、Biomeの拡張が進んだiOS 16以降、その多くのストリームが縮小していったことが示されています。
一部の記録は今も重複して残っていますが、多くの行動関連証拠は現在、主にBiome側に保存されているとみられます。
iOS 18およびiOS 26搭載デバイスから取得した完全なファイルシステムデータを調査したところ、ユーザーレベルのBiomeリポジトリだけで300を超えるストリームフォルダが見つかり、さらにシステムレベルでも約40のストリームが確認されました。
しかし、現行のフォレンジックツールの大半は、こうした利用可能なデータのごく一部しか解析できていないとdigital-forensicsは指摘しています。この調査結果は、オープンソースプロジェクト「LEAPP」の代表であるAlexis Brignoni氏に共有されました。
これを受けて新たなパーサーが開発され、iLEAPPに統合されました。これにより調査担当者は、iPhoneの完全なファイルシステム取得データから、はるかに広範なBiomeの証拠情報を抽出できるようになります。
iLEAPPのプロジェクトリポジトリでは、同ツールはiOSおよびiPadOSのログ、イベント、plistファイルを解析し、複数のフォレンジック向け出力形式を生成するツールとして説明されています。
ANY.RUNを活用してSOC調査の死角をなくし、脅威を早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/ileapp-decodes-apple-biome-streams/
