Analyse forensique FSEvents : ce que prouve .fseventsd
Ce qu'enregistre le journal FSEvents de macOS, où se trouve .fseventsd, ce qu'il prouve ou non, et comment le lire sans horodatage exact.
Articles tagués: #dfir
Dater les enregistrements FSEvents sans horodatage
Les enregistrements FSEvents n'ont pas d'heure. Construire des fenêtres fiables à partir des mtimes des journaux .fseventsd, de l'uuid et des chemins datés.