Una función poco conocida de la base de datos de Safari podría proporcionar a los investigadores forenses digitales una nueva forma de analizar la actividad de navegación en macOS. La base de datos de historial de Safari puede almacenar etiquetas de temas generadas automáticamente para algunas páginas web, lo que permitiría revelar temas explorados por el usuario incluso cuando los registros de navegación originales sean limitados. Este rastro se almacena en el archivo SQLite ubicado en ~/Library/Safari/History.db.

Una función poco conocida de la base de datos de Safari podría darte, como investigador forense digital, otra forma de entender la actividad de navegación en macOS.

La base de datos de Historial de Safari puede almacenar etiquetas de temas generadas automáticamente para algunas páginas web, revelando potencialmente temas que exploraste incluso cuando los registros de navegación originales son limitados.

El artefacto se almacena en la base de datos de historial SQLite de Safari en ~/Library/Safari/History.db. Este archivo ya es una fuente clave de evidencia del navegador porque registra las URL visitadas, los títulos de las páginas web, las marcas de tiempo, las redirecciones y el recuento de visitas.

Los datos del historial de Safari se encuentran comúnmente en las tablas history_items e history_visits, pero dos tablas adicionales pueden proporcionarte un contexto útil: history_tags e history_items_to_tags.

Parece que Safari asigna una etiqueta descriptiva corta a algunas páginas web que procesa. No todas las páginas reciben una etiqueta, y la lógica precisa utilizada para crear estas etiquetas sigue sin estar clara.

Las etiquetas de la base de datos del historial de Safari revelan el historial

Según la publicación de Yogesh Khatri en SwiftForensics, la evidencia disponible sugiere que Safari puede derivar un tema o entidad general relacionada con la página en lugar de una descripción precisa de su contenido principal.

La tabla history_tags almacena los metadatos de la etiqueta. Los campos importantes incluyen el título de la etiqueta, el identificador, la marca de tiempo de modificación y el recuento de elementos.

El campo title contiene la etiqueta legible para ti, mientras que el campo identifier puede comenzar con una “Q”, lo que indica un enlace a una entidad de Wikidata. Por ejemplo, un identificador de etiqueta podría apuntar a una tecnología, organización, ubicación, paquete de software o concepto más amplio reconocido.

La tabla history_items_to_tags funciona como un puente entre los registros de navegación y las etiquetas. Vincula un elemento del historial con un ID de etiqueta, permitiéndote conectar el tema inferido por Safari con una URL específica.

Los disparadores de la base de datos también actualizan el campo item_count cuando se inserta o elimina una relación de etiqueta, haciendo que el recuento sea útil para identificar etiquetas asociadas con múltiples elementos del historial.

Una consulta SQL puede unir el registro de visita, la URL, el título de la etiqueta, el identificador de la etiqueta y el tiempo de modificación de la etiqueta. Dado que las marcas de tiempo de Safari utilizan la época Cocoa de Apple que comienza el 1 de enero de 2001, debes sumar 978307200 segundos al convertirlas al tiempo Unix.

El valor del artefacto es contextual más que concluyente. Una etiqueta puede relacionarse con un concepto incidental en una página en lugar de su tema central.

Por ejemplo, un sitio de phishing que suplanta al proyecto Homebrew podría recibir una etiqueta “APT” porque Safari lo asocia con Advanced Package Tool, y no porque la página esté vinculada a una amenaza persistente avanzada.

Por lo tanto, debes evitar tratar las etiquetas como prueba de la intención del usuario. En su lugar, deberías correlacionarlas con URLs, títulos de visitas, descargas, caché del navegador, datos de DNS, telemetría de endpoints y otros artefactos.

Aun así, las entradas de etiquetas más antiguas con un item_count de cero podrían ser notables, ya que pueden permanecer después de que se eliminen las relaciones de historial asociadas.

El marco forense de código abierto para macOS e iOS, mac_apt, incluye el análisis de artefactos de Safari y puede procesar el historial de internet de Safari junto con otras evidencias forenses. Su soporte para Safari hace que los datos de las etiquetas sean más fáciles de revisar durante las investigaciones de endpoints.

Las etiquetas de Safari no son una prueba irrefutable por sí solas, pero pueden ayudarte a ti y a los equipos de DFIR a identificar patrones de navegación, investigar actividades de phishing y construir una línea de tiempo más clara de la actividad web de un usuario de macOS.

Fuentes:
https://cybersecuritynews.com/safari-history-tags-reveal-browsing-on-macos/