Safari履歴データベースのタグ、フォレンジック調査でユーザーの閲覧テーマを明らかにする可能性

Safariの履歴データベースには、あまり知られていないタグ付けのアーティファクトが存在します。調査担当者は、これを手がかりにユーザーの閲覧テーマを推測できる可能性があります。

この機能は意図を示す決定的な証拠にはなりません。ただし、URL、訪問時刻、キャッシュデータ、ダウンロード、ネットワークテレメトリと突き合わせることで、macOSのフォレンジックのタイムライン作成に役立つ文脈情報を得られます。

インシデントレスポンス計画

Safariの履歴タグと閲覧テーマ

Safariの History.db データベースには、ユーザーが訪問したウェブページに対して自動生成されたトピックラベルが含まれている場合があります。デジタルフォレンジック・インシデントレスポンス（DFIR）チームにとっては、新たな調査の手がかりとなります。

このデータベースは ~/Library/Safari/History.db に配置されています。主に閲覧したURL、ページタイトル、訪問のタイムスタンプ、リダイレクト、訪問回数を保存することで知られています。

しかし研究者らによると、Safariは一部の履歴エントリに対し、推定された主題やテーマを表すと思われる説明的なタグを関連付けることもあります。

この機能の中心となるのは、history_tags と history_items_to_tags という2つのSQLiteテーブルです。history_tags テーブルは各タグのメタデータを保存しており、人が読めるタイトル、識別子、変更タイムスタンプ、アイテム数が含まれます。

history_items_to_tags テーブルは、タグと、訪問したURLを保持する history_items 内の対応レコードとを結び付ける関係マッピングの役割を果たします。これにより調査担当者は、孤立したタグの値を個別に確認するのではなく、Safariが推定したテーマ分類を特定の閲覧記録にひも付けて調べられます。

history_tags テーブルでは、title フィールドにタグのラベルが入り、identifier は通常「Q」で始まります。この識別子はWikidataのエンティティに対応しています。Safariは単にページタイトルからキーワードを抽出しているのではなく、ウェブページをより広い構造化された概念に関連付けていると考えられます。

Safariがウェブページにタグを付与するかどうかや、どのラベルを付けるかをどのような仕組みで判断しているかは、公には明らかになっていません。訪問したすべてのページにタグが付くわけではありません。また、これまでの観測によると、この機能は少なくとも2021年からSafariの履歴データベースに存在しています。

フォレンジック分析担当者は、AppleのCocoaタイムスタンプ形式に注意する必要があります。Safariは関連するタイムスタンプをMac絶対時間で保存します。これは2001年1月1日を起点とするエポックからの経過時間です。

分析担当者は、SQLiteの datetime() 関数を使う前に978307200秒を加算することで、これらの値をUnix時間に変換できます。結合クエリを使えば、訪問タイトル、URL、変換後の訪問時刻、タグのタイトル、タグの識別子、タグの変更時刻を抽出できます。これにより、通常のURL履歴だけよりも充実した閲覧タイムラインが得られます。

タグは、数千件のURLの中では見分けにくいパターンを浮かび上がらせることがあります。たとえば、不審なソフトウェアのダウンロード活動に関する調査で、「APT」というタグが見つかるかもしれません。

ただし、このラベルをすぐに高度で持続的な脅威（APT）と解釈してはいけません。Wikidataのエンティティ Q230724 は、Linuxのパッケージ管理ユーティリティであるAdvanced Package Toolを指しているためです。

観測されたある事例では、Homebrewになりすましたフィッシングサイトに「APT」タグが付いた一方、正規のHomebrewサイトには付きませんでした。この例は、タグの解釈をURL、ウェブページの内容、証明書データ、DNSログ、その他のエンドポイント上の証拠と突き合わせることが重要だと示しています。

インシデントレスポンス計画

調査担当者は、アイテム数がゼロの残存タグに遭遇することもあります。Safariの履歴削除では関連レコードを消去できるようですが、テストの結果、古いエントリが history_items への有効なリンクを失ったまま history_tags に残る場合があることがわかりました。

こうした孤立したエントリは、単独でデータを復元する手段にはなりません。それでも、関連レコードが削除された後に、過去の閲覧テーマを限定的に知る手がかりになる可能性があります。データベーストリガーは、タグの関係が追加・削除されるたびにアイテム数を増減させます。そのため、このフィールドはタグが残存しているかを評価する際に重要です。

オープンソースのmacOS・iOS向けフォレンジックフレームワーク mac_apt は、Safariタグの解析に対応しました。アイテム数のないタグは TAGGED として表示されます。この機能強化により、このアーティファクトを日常的なエンドポイントのトリアージやフルディスクイメージの分析に取り入れやすくなります。

SOCのアラート調査を1件あたり21分短縮。即座にIOCのコンテキストを得て、迅速な対応を実現しましょう: TI LookupをSOCに導入