Appleの内部フレームワーク「Biome」は、iOSにおけるフォレンジック調査上、最も価値の高い情報源の一つとして急速に注目を集めています。新たに解析されたデータからは、Safariの閲覧履歴やWalletの取引記録などが詳細に記録されていることが明らかになりました。
Securedata storage
その名称から誤解されがちですが、Biomeは生体認証とは関係がなく、Siriの提案機能やパーソナライズ、行動モデリングなど、Appleの予測型インテリジェンス基盤を支えるものです。
Howard Oakley氏が説明しているように、このフレームワークはユーザーの行動を先読みするよう設計されています。この予測レイヤーは、フォレンジック調査官にとって、ユーザーの行動を精密に記録した高精細なログとして機能します。
John Hyla氏によるAppIntentストリームに関する初期の研究では、/private/var/mobile/Library/Biome/streams/以下に保存された構造化アクティビティ・アーティファクトが最初に特定されていました。
その後、Geraldine Blay氏が通知関連ストリーム内にSEGBファイルシグネチャを発見したことで理解が広がり、この発見は後にDFRWSによって正式に体系化されました。
SEGB形式はiOS 14で導入され、Biomeによる構造化データ保存の始まりとなりました。
iOS 15およびiOS 16になると、Appleはその適用範囲を大幅に拡大し、/private/var/db/biome/streams/といった新たなリポジトリを追加しました。これは、システムレベルでのインテリジェンス集約へと方向転換したことを示しています。
この流れはiOS 17でさらに加速し、新形式であるSEGBv2が導入されました。この形式は解析手法の更新を必要とするもので、Cellebriteによって詳しく文書化されています。
iOS 17からiOS 26までの現行デバイスを分析したところ、Biomeがユーザーレベルとシステムレベルの両方のディレクトリにまたがってデータを保存する一貫したアーキテクチャが確認され、標準的なデバイスでは300以上の個別ストリームフォルダが観測されました。
Apple Biomeデータフレームワーク
これほどの規模であるにもかかわらず、現在市販されているフォレンジックツールやオープンソースツールの大半は、利用可能なストリームのごく一部しか解析できていません。
最近実施された複数バージョンにわたるフォレンジック分析により、Biomeが長年頼りにされてきたKnowledgeC.dbデータベースに徐々に取って代わり、主要な行動データリポジトリへと静かに進化していることが確認されました。
複数のデバイスから取得したフルファイルシステムイメージを手作業で調査したところ、実用的なフォレンジック・アーティファクトを含むストリームが少なくとも84個確認されました。
その中には、Safariの閲覧履歴、詳細な位置情報の訪問ログ、Walletの取引記録、アプリの利用パターン、Siriとの対話履歴、通知の残存データといった、価値の高いデータカテゴリが含まれています。
特に注目すべきは、Location.VisitやSiri.Remembers.MessageHistoryといったストリームです。これらは文脈情報を深く含んだ行動データを保持しており、ユーザーの行動履歴を高い精度で再構築することが可能です。
今回の調査結果は、業界全体のより大きな流れも裏付けています。Ian Whiffin氏の先行研究に裏付けられた形でKnowledgeC.dbとの比較分析を行ったところ、iOS 16以降、アクティブなKnowledgeCストリームが60以上から約20にまで急減していることが分かりました。
これは、Appleが行動テレメトリの多くをBiomeへと移行させ、よりスケーラブルでモジュール化されたアーキテクチャへとインテリジェンスを統合していることを強く示唆しています。
Biomeのフォレンジック上の重要性が広く注目を集めたのは2026年4月のことで、アプリを削除した後であっても、iOSの通知アーティファクトからSignalのメッセージ内容を復元できたという報告がきっかけでした。
Appleはその後この問題に対応し、通知ログにおけるデータ保持の不適切さを原因として挙げ、より厳格な編集(レダクション)制御を実装しました。
Securedata storage
各種ツールは今、Biomeの拡張ペースに追いつこうと開発が急がれています。LEAPPプロジェクトは最近、新たに特定された数十のストリームへの対応を統合し、アーティファクトの可視性を大幅に向上させました。
とはいえ、利用可能なデータと実際に解析済みの出力との間には依然として大きな隔たりがあり、フォレンジック標準化における継続的な課題が浮き彫りになっています。
Biome内でのデータ保持パターンにも大きなばらつきがあります。多くのストリームはおおむね28日周期でライフサイクルを迎える一方、数か月にわたって保持されるものもあり、長期的な調査における証拠価値を高めています。
Appleがオンデバイスのインテリジェンスを拡張し続ける中、Biomeはフォレンジック調査における重要なフロンティアとして際立った存在になっています。
2026年、AI SOCに求められる機能とは?完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/apple-biome-data-framework/
