FSEvents Parser — Blog https://www.fseventsparser.com/de/blog Latest from Blog de Wed, 30 Sep 2026 00:50:48 GMT .fseventsd sichern: tar, UAC, Aftermath, Velociraptor https://www.fseventsparser.com/de/blog/collect-fseventsd-tar-uac-velociraptor https://www.fseventsparser.com/de/blog/collect-fseventsd-tar-uac-velociraptor So sichern Sie macOS-FSEvents-Logs, ohne ihre Änderungszeiten zu verlieren: ein tar-Befehl, UAC-Profile, Aftermath, Velociraptor und Disk-Images. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT FSEvents-Untersuchung: Exfiltration auf einem Mac https://www.fseventsparser.com/de/blog/fsevents-exfiltration-walkthrough https://www.fseventsparser.com/de/blog/fsevents-exfiltration-walkthrough Ein fiktiver macOS-Einbruch, allein mit FSEvents nachvollzogen: ein Download, ein LaunchAgent, Festplattenvollzugriff, ein Staging-Ordner, ein USB-Stick. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT FSEvents-Dateiformat: 1SLD-, 2SLD- und 3SLD-Seiten https://www.fseventsparser.com/de/blog/fsevents-file-format-1sld-2sld-3sld https://www.fseventsparser.com/de/blog/fsevents-file-format-1sld-2sld-3sld Das On-Disk-Layout der macOS-.fseventsd-Logs: gzip-Dateien, DLS-Seitenheader, Datensatzfelder je Version und Umgang mit abgeschnittenen oder beschädigten Daten. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT FSEvents-Flags erklärt: Jedes Bit dekodiert https://www.fseventsparser.com/de/blog/fsevents-flags-explained https://www.fseventsparser.com/de/blog/fsevents-flags-explained Jedes FSEvents-Flag-Bit auf der Platte mit Wert, den Namen in FSEventsParser und mac_apt und wie man Created, Renamed, ItemCloned oder EndOfTransaction liest. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT macOS-FSEvents-Forensik: Was .fseventsd beweist https://www.fseventsparser.com/de/blog/fsevents-forensics-guide https://www.fseventsparser.com/de/blog/fsevents-forensics-guide Was das FSEvents-Log von macOS aufzeichnet, wo .fseventsd liegt, was es beweisen kann und was nicht, und wie man es ohne exakte Zeitstempel liest. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT FSEvents-Datensätze ohne Zeitstempel datieren https://www.fseventsparser.com/de/blog/fsevents-timestamps-time-windows https://www.fseventsparser.com/de/blog/fsevents-timestamps-time-windows FSEvents-Datensätze haben keine Zeit: ehrliche Zeitfenster aus den mtimes der .fseventsd-Logs, uuid-Dateien und datierten Pfaden bilden – und wo das scheitert. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT