یک ویژگی کمتر شناخته شده در پایگاه داده مرورگر Safari می‌تواند روش جدیدی را برای تحلیلگران جرم‌شناسی دیجیتال (Digital Forensics) فراهم کند تا فعالیت‌های وب کاربران در سیستم‌عامل macOS را با دقت بیشتری رصد کنند.
تحلیل تگ‌های موضوعی در تاریخچه Safari
پایگاه داده تاریخچه Safari قادر است تگ‌های موضوعی (Topic Tags) را به‌صورت خودکار برای برخی از صفحات وب ذخیره کند. این قابلیت باعث می‌شود حتی در صورتی که رکوردهای اصلی مرورگر محدود یا حذف شده باشند، تم‌های کلی مورد جستجوی کاربر قابل شناسایی باشد.
این داده‌ها در فایل SQLite تاریخچه Safari در مسیر ~/Library/Safari/History.db ذخیره می‌شوند. در حالی که اکثر تحلیلگران بر روی جداول history_items و history_visits تمرکز می‌کنند، دو جدول دیگر به نام‌های history_tags و history_items_to_tags اطلاعات بسیار ارزشمندی را ارائه می‌دهند.
ساختار و نحوه عملکرد تگ‌ها
- جدول history_tags: متادیتای تگ‌ها شامل عنوان (Title)، شناسه (Identifier)، زمان آخرین تغییر و تعداد موارد مرتبط را ذخیره می‌کند.
- اتصال به Wikidata: شناسه‌هایی که با حرف “Q” شروع می‌شوند، نشان‌دهنده پیوند به موجودیت‌های Wikidata هستند که می‌تواند به سازمان‌ها، فناوری‌ها یا مکان‌های خاص اشاره داشته باشد.
- جدول history_items_to_tags: به عنوان یک پل ارتباطی عمل کرده و هر رکورد تاریخچه را به یک شناسه تگ متصل می‌کند تا تحلیلگر بتواند موضوع استنباط شده توسط Safari را به یک URL خاص مرتبط کند.
ملاحظات فنی برای تحلیلگران DFIR
تحلیلگران باید توجه داشته باشند که این تگ‌ها جنبه زمینه‌ای (Contextual) دارند و لزوماً اثباتی برای قصد کاربر (User Intent) نیستند. برای مثال، یک سایت فیشینگ که از پروژه Homebrew تقلید می‌کند، ممکن است تگ “APT” دریافت کند؛ نه به دلیل ارتباط با تهدیدات پیشرفته، بلکه به دلیل ارتباط با Advanced Package Tool.
همچنین، تبدیل زمان‌های ثبت شده در Safari به زمان یونیکس (Unix Time) نیازمند افزودن 978307200 ثانیه است، زیرا اپل از Cocoa epoch (شروع از ژانویه 2001) استفاده می‌کند.
ابزارهای پیشنهادی
چارچوب متن‌باز mac_apt برای جرم‌شناسی macOS و iOS، قابلیت تجزیه و تحلیل آرتیفکت‌های Safari را دارد و می‌تواند داده‌های تگ‌ها را در کنار سایر شواهد دیجیتال پردازش کند تا شناسایی الگوهای مرور وب و تحلیل فعالیت‌های فیشینگ تسهیل شود.
