.fseventsd sichern: tar, UAC, Aftermath, Velociraptor
So sichern Sie macOS-FSEvents-Logs, ohne ihre Änderungszeiten zu verlieren: ein tar-Befehl, UAC-Profile, Aftermath, Velociraptor und Disk-Images.
Beiträge mit dem Tag: #macos-forensics
FSEvents-Untersuchung: Exfiltration auf einem Mac
Ein fiktiver macOS-Einbruch, allein mit FSEvents nachvollzogen: ein Download, ein LaunchAgent, Festplattenvollzugriff, ein Staging-Ordner, ein USB-Stick.
FSEvents-Dateiformat: 1SLD-, 2SLD- und 3SLD-Seiten
Das On-Disk-Layout der macOS-.fseventsd-Logs: gzip-Dateien, DLS-Seitenheader, Datensatzfelder je Version und Umgang mit abgeschnittenen oder beschädigten Daten.
FSEvents-Flags erklärt: Jedes Bit dekodiert
Jedes FSEvents-Flag-Bit auf der Platte mit Wert, den Namen in FSEventsParser und mac_apt und wie man Created, Renamed, ItemCloned oder EndOfTransaction liest.
macOS-FSEvents-Forensik: Was .fseventsd beweist
Was das FSEvents-Log von macOS aufzeichnet, wo .fseventsd liegt, was es beweisen kann und was nicht, und wie man es ohne exakte Zeitstempel liest.
FSEvents-Datensätze ohne Zeitstempel datieren
FSEvents-Datensätze haben keine Zeit: ehrliche Zeitfenster aus den mtimes der .fseventsd-Logs, uuid-Dateien und datierten Pfaden bilden – und wo das scheitert.