macOS-FSEvents-Forensik: Was .fseventsd beweist
Was das FSEvents-Log von macOS aufzeichnet, wo .fseventsd liegt, was es beweisen kann und was nicht, und wie man es ohne exakte Zeitstempel liest.
Beiträge mit dem Tag: #dfir
FSEvents-Datensätze ohne Zeitstempel datieren
FSEvents-Datensätze haben keine Zeit: ehrliche Zeitfenster aus den mtimes der .fseventsd-Logs, uuid-Dateien und datierten Pfaden bilden – und wo das scheitert.