Skip to content
FSEvents Parser

Glosario

Node ID (FSEvents)

Identificador del objeto del sistema de archivos en los registros FSEvents 2SLD y 3SLD; sigue a un archivo en renombrados y traslados.

El node ID es el identificador de 8 bytes del objeto del sistema de archivos que se guarda en cada registro FSEvents a partir del formato 2SLD (macOS 10.13 High Sierra y posteriores). En APFS corresponde al número de inodo, el mismo valor que muestran ls -i o stat para un archivo que todavía existe. Los registros 1SLD, más antiguos, no tienen node ID.

Por qué importa en una investigación

Un renombrado o un traslado conserva el objeto y, por tanto, su node ID. FSEvents registra un renombrado como dos registros, uno con la ruta antigua y otro con la nueva, ambos marcados Renamed; el node ID compartido es lo que los une. Esto permite:

  • emparejar renombrados con fiabilidad, en lugar de deducirlos a partir de event IDs consecutivos;
  • seguir un archivo a través de sus nombres, desde el nombre temporal de descarga de un navegador hasta el definitivo, o desde un archivo .tmp hasta un LaunchAgent;
  • relacionar registros cuando otro objeto reutilizó una ruta, o cuando un mismo objeto aparece con varias rutas.

Los node IDs pueden reutilizarse tras eliminar un archivo, así que compárelos dentro de un intervalo corto de event IDs y confírmelos con la ruta y los flags. Si el archivo sigue existiendo, su número de inodo actual puede enlazar el historial FSEvents con el sistema de archivos real.

Ejemplo

En la muestra sintética, Safari descarga tools.zip en un paquete .download y después lo mueve:

  • Users/dana.whitlock/Downloads/tools.zip.download/tools.zip: Renamed;File
  • Users/dana.whitlock/Downloads/tools.zip: Renamed;File, mismo node ID

FSEvents Parser empareja ambos lados en su pestaña Renombrados, por node ID, y escribir node: seguido del identificador en la búsqueda muestra todos los registros de ese objeto.

Términos relacionados

Siga los node IDs en FSEvents Parser; la estructura de los registros según la versión está en Formato de archivo FSEvents: páginas 1SLD, 2SLD y 3SLD.