Forense de FSEvents en macOS: qué prueba .fseventsd
Qué registra FSEvents en macOS, dónde está .fseventsd, qué puede y qué no puede probar, y cómo leerlo sin marcas de tiempo exactas.
Artículos etiquetados: #dfir
Cómo datar registros FSEvents sin marcas de tiempo
FSEvents no guarda horas. Cómo construir ventanas temporales fiables con las mtimes de .fseventsd, fseventsd-uuid y rutas fechadas, y cuándo fallan.