Khám phá tính năng lịch sử trình duyệt hỗ trợ an toàn thông tin trên macOS
Một tính năng cơ sở dữ liệu ít được biết đến trên Safari có thể cung cấp cho các nhà điều tra kỹ thuật số một phương pháp mới để hiểu các hoạt động duyệt web trên macOS. Những thông tin này đóng vai trò quan trọng trong việc tăng cường an toàn thông tin thông qua việc phân tích dữ liệu lịch sử trình duyệt.
Cơ sở dữ liệu lịch sử của Safari có khả năng lưu trữ các thẻ chủ đề được tạo tự động cho một số trang web. Điều này cho phép tiết lộ các chủ đề mà người dùng đã khám phá ngay cả khi các bản ghi duyệt web gốc bị giới hạn.
Cấu trúc cơ sở dữ liệu và cách thu thập dữ liệu
Các bằng chứng kỹ thuật số này được lưu trữ trong cơ sở dữ liệu SQLite của Safari tại đường dẫn ~/Library/Safari/History.db. Tệp tin này từ lâu đã là nguồn cung cấp bằng chứng trình duyệt quan trọng vì nó ghi lại các URL đã truy cập, tiêu đề trang web, dấu thời gian, các lượt chuyển hướng và số lần truy cập.
Ngoài các bảng history_items và history_visits thông thường, hai bảng bổ sung là history_tags và history_items_to_tags có thể cung cấp thêm ngữ cảnh hữu ích. Theo phân tích chi tiết tại SwiftForensics, Safari gán các thẻ mô tả ngắn cho một số trang web mà nó xử lý, mặc dù logic chính xác để tạo ra các nhãn này vẫn chưa rõ ràng.
Phân tích dữ liệu thẻ trong Safari
Bảng history_tags lưu trữ siêu dữ liệu của các thẻ, bao gồm tiêu đề thẻ, định danh, dấu thời gian sửa đổi và số lượng mục. Tiêu đề chứa văn bản có thể đọc được, trong khi trường định danh thường bắt đầu bằng chữ “Q”, cho thấy liên kết tới một thực thể trên Wikidata như công nghệ, tổ chức, vị trí hoặc các khái niệm rộng hơn.
Bảng history_items_to_tags hoạt động như một cầu nối, liên kết các mục lịch sử với một ID thẻ cụ thể. Cơ chế này cho phép các nhà điều tra kết nối các chủ đề mà Safari suy luận được với một URL cụ thể. Ngoài ra, các cơ sở dữ liệu trigger còn cập nhật trường item_count khi mối quan hệ thẻ được chèn hoặc xóa.
Ứng dụng trong điều tra kỹ thuật số và an toàn thông tin
Để truy vấn dữ liệu này, các nhà phân tích có thể sử dụng SQL để kết hợp bản ghi truy cập, URL, tiêu đề thẻ và thời gian sửa đổi. Lưu ý rằng dấu thời gian của Safari sử dụng kỷ nguyên Cocoa của Apple bắt đầu từ ngày 1 tháng 1 năm 2001, do đó cần thêm 978307200 giây để chuyển đổi sang định dạng Unix.
Giá trị của bằng chứng này mang tính ngữ cảnh thay vì kết luận chắc chắn. Một thẻ có thể liên quan đến một khái niệm ngẫu nhiên trên trang web thay vì chủ đề chính. Các chuyên gia cần đối chiếu dữ liệu này với các nguồn khác như:
- URL và tiêu đề truy cập
- Dữ liệu tải xuống và cache trình duyệt
- Dữ liệu DNS
- Telemetry từ thiết bị đầu cuối
Các nhà điều tra nên tránh coi các thẻ này là bằng chứng xác thực về ý định của người dùng. Tuy nhiên, các mục thẻ cũ với item_count bằng 0 vẫn có thể đáng chú ý vì chúng có khả năng tồn tại ngay cả sau khi các mối quan hệ lịch sử liên quan đã bị xóa.
Khung điều tra mã nguồn mở mac_apt hỗ trợ phân tích các cấu phần của Safari, giúp việc đánh giá dữ liệu thẻ trở nên thuận tiện hơn trong các cuộc điều tra thiết bị đầu cuối. Dù không phải là bằng chứng quyết định, nhưng các thẻ Safari hỗ trợ đội ngũ DFIR xác định các mô hình duyệt web, điều tra hoạt động giả mạo và xây dựng dòng thời gian rõ ràng hơn về hoạt động web của người dùng macOS.
