あまり知られていない機能が、macOSユーザーのウェブ活動を調べる捜査担当者に、新たな手がかりをもたらします。それはSafariの閲覧履歴データベースに含まれるものです。
Swiftforensicsの報告によると、Safariは訪問したページの一部に意味的なタグを付与しているようです。個々のURLが不完全だったり曖昧だったり、有効な履歴レコードと関連付けられていなかったりしても、より広いブラウジングの傾向が浮かび上がる可能性があります。
このアーティファクトは、SafariのSQLite履歴データベース~/Library/Safari/History.dbに存在します。ユーザーのブラウジングのタイムラインを再構築する際に、一般的に使われる場所と同じです。
従来の調査では、一意のURLを保存するhistory_itemsと、個々のページ訪問を記録するhistory_visitsに注目してきました。しかし、history_tagsとhistory_items_to_tagsという2つのテーブルからも、Safariが特定のコンテンツをどう分類しているかを読み取れます。
history_tagsテーブルにはタグのメタデータが格納されています。titleフィールドの人間が読める値、永続的な識別子、更新タイムスタンプ、そしてそのタグに現在関連付けられているSafari履歴レコードの数を示すitem_countです。
history_items_to_tagsテーブルは関連付け用のテーブルで、Safari履歴の項目と割り当てられたタグを結び付けます。両者の関係が作成または削除されると、データベースのトリガーがタグの項目数を増減させます。
Safariのタグ付けはすべてのページを対象としているわけではないようです。Appleもタグを生成するロジックの詳細を公表していません。
実際に検証したところ、付与されたタグの大半は元のページと主題が関連していました。ただし、ページの主要なテーマを捉えているとは限りません。
SwiftForensicsは、この限界があるため、調査担当者はタグをユーザーの意図や行動を断定する記述ではなく、状況を示す手がかりとして扱うべきだと指摘しています。
注目すべき点は、history_tagsのidentifier値が「Q」で始まることです。この識別子はWikidataの項目に対応しています。つまりSafariの分類は、ローカルで生成された単なるキーワードではなく、より広範なナレッジグラフ上のエンティティに結び付けられる可能性があります。
この仕組みは、似た名前の用語を調査担当者が区別する助けになるかもしれません。一方で、タグが複数の技術的な意味を持つ場合には、誤解を招く解釈を生む余地もあります。
たとえば、Wikidata項目Q230724に関連付けられた「APT」というSafariのタグは、一見すると高度で持続的な脅威（APT）の活動を示唆しているように見えます。しかし、確認された事例でこの識別子が指していたのは、LinuxやHomebrew関連で使われるAdvanced Package Toolでした。
該当ページは本物のHomebrewのウェブサイトになりすましたフィッシングサイトでした。一方、正規のHomebrewのページにはタグが付いていませんでした。
この例は、アナリストが結論を出す前に、タグを元のURL、ページタイトル、訪問のタイムライン、周辺の証拠と照らして検証しなければならない理由を示しています。
タグの更新タイムスタンプには、AppleのNSDate（Cocoa）エポック、つまり2001年1月1日を起点とする形式が使われています。Safariの訪問タイムスタンプとあわせて変換すれば、あるトピックに関連するページに最後にアクセスした時期を特定する助けになります。
調査担当者は、関連するHistory.db-walとHistory.db-shmのファイルも取得すべきです。最近のレコードは、メインのデータベースにコミットされる前の先行書き込みログ（WAL）に残っている場合があるためです。
削除されたブラウジングデータにも、調査上の価値が残ることがあります。Safariの履歴を消去すると関連するタグのレコードも削除されることがありますが、一部のシステムではitem_countが0の古いタグのエントリーが残っていました。これは、現在の履歴項目がどれも関連付けられていないことを意味します。
こうした孤立したタグは、それだけでブラウジング活動を証明するものではありません。それでも、過去のテーマを示す手がかりとして、ブラウザのキャッシュ、ダウンロード、DNSアーティファクト、統合ログ、復元されたSQLiteレコードなどによる裏付けを取るべき対象をアナリストに示せます。
オープンソースのmacOSフォレンジックフレームワークmac_aptは、Safariのタグの解析機能を追加しました。関連する項目数のないタグは「TAGGED」と表示されます。これにより、日常的なDFIRのワークフローでこのアーティファクトを扱いやすくなりました。URLやタイムスタンプだけにとどまらず、Safariの履歴を調べる価値も高まっています。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/safari-history-tags-expose-browsing-themes/
